Публикация от 6 ноября утверждает, что Claude Code при обращении к некоторым внешним сайтам мог включать личный email пользователя в HTTP-заголовок User-Agent. Это описание чужого сообщения, а не результат независимого теста редакции и не доказательство того, что проблема затронула всех пользователей. Доступная публикация ссылается на баг-репорт, но его содержание отдельно получить не удалось.
В исходной публикации также говорится, что Anthropic признала проблему, добавила защитные проверки в Claude Code 2.1.317 и планирует позднее убрать email из контекста, доступного агенту.
Что именно утверждается о Claude Code
Речь идёт не о доступе сайта к почтовому ящику или переписке пользователя. Утверждение уже: во время сетевого обращения агент мог передать стороннему сайту сам адрес электронной почты как часть стандартного HTTP-запроса.
Если это происходило, внешний сервер мог увидеть адрес в заголовках входящего запроса, сохранить его в журналах или связать с другими обращениями. Однако источник не показывает конкретный запрос, домен сайта, версию клиента в момент инцидента или перечень сценариев, в которых поведение воспроизводилось.
Публикация также связывает раскрытие адресов с сообщениями некоторых пользователей о десятках мошеннических писем в день. Это сообщение со слов публикации, а не установленная причинная связь: неизвестно, откуда именно отправители получили адреса, сколько людей наблюдали такой эффект и совпадали ли их случаи с использованием Claude Code.
Как мог работать механизм раскрытия
Ниже — редакционная реконструкция заявленного сценария, а не наблюдение сетевого запроса. В публикации сказано, что проблема возникала при обращении агента к некоторым сайтам.
- Адрес оказывается в контексте агента. Это может быть информация профиля или другой текст, доступный модели и инструментам.
- Агент инициирует обращение к внешнему сайту. Запрос уходит на сервер, который не является частью локального рабочего окружения пользователя.
- Клиент формирует заголовок User-Agent. В заявленном дефекте адрес добавляется к этому заголовку вместо безопасного описания клиента.
- Сторонний сервер получает запрос. Вместе с остальными метаданными он может записать переданный заголовок в свои журналы.
Важно не путать этот сценарий с отправкой email в теле веб-формы. Заголовок передаётся на уровне HTTP-запроса и обычно предназначен для идентификации браузера или программы, поэтому пользователь может не увидеть отдельного поля с адресом.
Эта схема объясняет, почему риск связан с сетевыми действиями агента, но не доказывает, что каждый вызов Claude Code содержал email. В доступном сообщении говорится лишь о некоторых сайтах и о возможности такого поведения.
Что сообщается о Claude Code 2.1.317
По словам публикации, Anthropic признала проблему и добавила защитные проверки в Claude Code 2.1.317. В практическом смысле это может означать попытку обнаружить или остановить передачу адреса при подготовке внешнего запроса. Источник не описывает правила срабатывания, перечень инструментов и условия, при которых запрос блокируется или изменяется.
Та же публикация утверждает, что новые проверки срабатывают не всегда. Страницу упомянутого баг-репорта получить не удалось, поэтому нельзя независимо подтвердить воспроизведение, число попыток, версии окружения и долю успешных блокировок. На основании одного сообщения нельзя объявлять 2.1.317 полностью уязвимой или полностью безопасной.
В качестве следующего шага публикация называет план Anthropic убрать email пользователя из контекста, доступного агенту. Это отличается от фильтра на выходе: если адрес отсутствует в контексте, агенту сложнее случайно включить его в сетевой запрос. Но источник сообщает о будущем обновлении, а не подтверждает, что такое изменение уже выпущено.
Что остаётся неподтверждённым
Из доступного материала нельзя установить масштаб проблемы. Не названы общее число затронутых пользователей, доля запросов с раскрытием, конкретные сайты, операционные системы и версии Claude Code, на которых поведение воспроизводилось. Поэтому корректнее говорить о заявленном риске и сообщённых случаях, а не о массовой утечке.
Не подтверждена и цепочка от возможной передачи адреса до мошеннических писем. Публикация приводит такой результат со слов пользователей, но не показывает серверные журналы, временную последовательность событий или независимое исследование рассылок. Формулировка о «золотой жиле для мошенников» относится к оценке, приведённой в пересказе баг-репорта, а не к измеренной характеристике угрозы.
Источник также не позволяет проверить, какие именно проверки появились в версии 2.1.317 и почему они могут обходиться. Поэтому повторить описанный результат по опубликованным шагам нельзя: отсутствуют полный тестовый сайт, запрос, окружение и ожидаемый вывод. Материал остаётся сообщением о возможном риске, а не техническим отчётом или независимым аудитом.
Что делать пользователям до окончательного исправления
До выхода изменения, которое удалит email из доступного агенту контекста, внешние сетевые действия Claude Code стоит считать потенциально чувствительными. Следите за обновлениями клиента и их описанием, не полагаясь только на наличие версии 2.1.317: по доступному сообщению защитные проверки могут быть неполными.
При работе с непроверенными сайтами не помещайте личный адрес в контекст задачи без необходимости и не передавайте агенту лишние персональные данные. Это не гарантирует защиты, если адрес уже встроен в окружение или служебные настройки, но уменьшает объём данных, доступных инструментам.
Для чувствительных задач можно разделять личную и рабочую идентичность, ограничивать обращения агента к внешним ресурсам и внимательно относиться к сетевым запросам, которые выполняются автоматически. Если после использования инструмента появляется необычный поток писем, не следует автоматически считать его доказательством именно этой проблемы: нужно сопоставить время, окружение и возможные источники адреса.
Подтверждённый в доступном источнике результат ограничивается описанием возможного канала утечки и заявленных мер Anthropic. Он не устанавливает универсальность сбоя, масштаб раскрытия или эффективность проверок. Пока планируемое удаление email из контекста не выпущено и не описано технически, этот риск следует учитывать при передаче агенту персональных данных и разрешении ему обращаться к сторонним сайтам.
