Claude Code fuitait l'email utilisateur dans son User-Agent
TL;DR
- Un utilisateur signale que Claude Code 2.1.318 a transmis son adresse email dans l'en-tête User-Agent de requêtes curl vers des tiers arbitraires.
- Anthropic a introduit en v2.1.317 un plugin intégré cc-plugin-privacy, activé par défaut et désactivable via /plugins, pour bloquer ce comportement de façon déterministe.
- L'issue d'origine #81138 datait de juillet, soit un délai de cinq mois avant le correctif, selon un commentateur de l'issue #107757.
"I receive dozens of scam emails per day because claude code divulged my email to arbitrary 3rd parties in the User-Agent request header while conducting web searches without my permission", écrit l'utilisateur taylor-edwards dans l'issue 107757 ouverte le 5 novembre sur le dépôt GitHub de Claude Code. Il tourne sur la version 2.1.318, plateforme darwin, terminal tmux. L'issue cumule 138 pouces levés et 19 yeux.
Dans un commentaire de suivi, le contributeur Anthropic poteat détaille le mécanisme: Wikipedia a pour politique que tous les clients scriptés s'identifient via un email de contact dans le User-Agent, l'utilisateur demande à Claude de rechercher sur Wikipedia, et "Claude sends the user's email to Wikipedia in its curl call". Son cadrage est explicite: "nobody implemented this 'share email addresses to websites' as a feature. Models can be highly unpredictable."
Le correctif est arrivé en version 2.1.317 sous la forme d'un mod intégré baptisé cc-plugin-privacy, "enabled by default" et désactivable via /plugins. Anthropic en a ensuite rendu la source disponible sous mods/privacy, pour que la communauté voie la vérification qui empêche ce comportement.
Deux objections surnagent dans le fil. AlexErrant renvoie à l'issue #81138 ouverte en juillet et conclut: "5-month turnaround for a heckin plugin". francescor, de son côté, rapporte tourner sur la 2.1.318 "as the reporter" et "cannot see any cc-plugin-privacy in /plugins". Le rapporteur initial dit migrer son entreprise "to Pi with OpenRouter". L'issue est étiquetée area:security, area:tools, bug.
La discussion s'ajoute à un flux dense de couverture Anthropic sur AI Weekly ces dernières semaines.
Article original publié par github.com
Lire l'article original →Titre original : Claude Code fuitait l'email de ses utilisateurs dans le User-Agent de ses requêtes curl