Claude Code wysyła adres e-mail do stron? Burza na GitHubie

5 listopada użytkownik GitHuba o nicku taylor-edwards zgłosił w repozytorium Claude Code, że agent przekazał jego adres e-mail obcym stronom w nagłówku User-Agent podczas wyszukiwania w sieci, bez jego zgody. W ciągu godziny wpis trafił na pierwszą stronę Hacker News z wynikiem ponad 110 punktów.

Co właściwie się stało?

Zgłoszenie nosi tytuł „Bug Report: Privacy violation in User-Agent header” i dotyczy Claude Code w wersji 2.1.318 na macOS. Autor pisze, że codziennie dostaje dziesiątki maili od oszustów, bo Claude Code ujawnił jego adres przypadkowym serwisom, i że przenosi swoją firmę na harness agentowy Pi z OpenRouterem. Prosi, żeby to zachowanie usunąć całkowicie, a nie chować za ustawieniem opt-in czy opt-out.

Trzeba tu jednak oddzielić zarzut od dowodu. W zgłoszeniu nie ma logów ani samego nagłówka, a związek między Claude Code a spamem to wniosek autora. W chwili pisania pod zgłoszeniem nie ma też odpowiedzi Anthropic, za to jest 33 łapek w górę.

Skąd Claude Code w ogóle zna nasz adres e-mail?

Tu robi się ciekawiej. W lipcu w zgłoszeniu #81138 jeden z użytkowników opisał, że Claude Code bierze adres z konta (oauthAccount.emailAddress w ~/.claude.json) i dopisuje go do kontekstu modelu w każdej sesji, w postaci linii „The user’s email address is …”. Według późniejszych komentarzy w tym wątku:

1. Od wersji 2.1.246 przy adresie stoi zastrzeżenie, żeby nie wysyłać go do niepowiązanych usług, chyba że użytkownik wyraźnie o to poprosi.
2. Adres nie trafia do kontekstu, gdy logujemy się kluczem API albo korzystamy z Bedrocka czy Vertexa.
3. Nie ma udokumentowanego ustawienia, które to wyłącza.

To ustalenia użytkowników z analizy kodu, Anthropic ich nie potwierdził. Ale tłumaczą mechanizm: to nie Claude Code na sztywno dokleja adres do zapytań, tylko model sam decyduje, że go użyje.

Dlaczego model wpisuje adres w nagłówek?

Bo niektóre serwisy o to proszą. Polityka User-Agent Fundacji Wikimedia prosi o nagłówek z danymi kontaktowymi: adresem e-mail, stroną albo kontem na wiki. Agent, który chce być grzeczny wobec API, sięga więc po jedyny adres, jaki ma pod ręką.

I to nie pierwsze takie zgłoszenie:

1. #101659 z 13 października: subagent do researchu, uruchomiony przez innego subagenta, wysłał adres w nagłówku do liquipedia.net, mimo że kontekst sesji tego zabraniał. Działo się to na Claude Code 2.1.285 z modelem Opus 5.5, a serwer i tak odpowiedział błędem 403.
2. #102577 z 15 października: adres trafił do Wikipedii w czterech zapytaniach, a kolejne szły już z ogólnym nagłówkiem.

Wszystkie trzy zgłoszenia są otwarte, żadne nie ma komentarza od pracownika Anthropic.

Dlaczego jest o tym głośno?

Bo to dotyka danych osobowych płacących klientów, a instrukcja „nie wysyłaj adresu” okazuje się prośbą do modelu, a nie blokadą. W komentarzach na HN jedni piszą o spamie, który zaczął się po przejściu na Claude Code, inni nie widzą go na unikalnych adresach (co sugeruje, że nie każdy przypadek spamu ma to samo źródło). Jedna osoba sprawdziła swój nagłówek i adresu w nim nie znalazła, więc nie każdy jest dotknięty.

O podobnych sporach wokół tego, co trafia do kontekstu agenta, pisałem przy okazji wtyczki Postmana w Claude Code.

Na co zwrócić uwagę na przyszłość?

1. Przeglądajmy polecenia curl i zapytania sieciowe, zanim je zatwierdzimy, szczególnie flagę -A albo nagłówek User-Agent.
2. Hook PreToolUse może zablokować wywołanie narzędzia przed jego wykonaniem (opisuje to dokumentacja hooków). Użytkownicy w #81138 używają go do odrzucania poleceń z adresem, choć przyznają, że to rozwiązanie nie łapie wszystkiego.
3. Dopisanie zakazu do CLAUDE.md pomaga, ale to nadal tylko instrukcja dla modelu.

Więcej o zabezpieczaniu agentów piszę w poradniku o bezpieczeństwie agentów AI.

FAQ

Czy Claude Code zawsze wysyła mój adres e-mail?

Nie ma na to dowodów. Zgłoszenia opisują pojedyncze przypadki, w których model sam wpisał adres w nagłówek, zwykle dla serwisów proszących o kontakt. Według użytkowników adres w ogóle nie trafia do kontekstu przy logowaniu kluczem API.

Czy Anthropic odpowiedział na zgłoszenia?

W chwili pisania (5 listopada wieczorem) w żadnym z czterech wątków na GitHubie nie ma komentarza od Anthropic. Przy #101659 widać tylko dodanie etykiety przez pracownika firmy.

Czy da się wyłączyć przekazywanie adresu e-mail do modelu?

Według zgłoszenia #81138 nie ma do tego oficjalnego ustawienia. Użytkownicy obchodzą to logowaniem kluczem API albo hookami, ale to ich własne rozwiązania, nie funkcja Claude Code.