Claude Codeが、ログイン中ユーザーのメールアドレスをWebリクエストのUser-Agentヘッダーに書き込み、アクセス先のサードパーティサイトへ送信していることが開発者によって見つかった。11月5日、ユーザーのtaylor-edwards氏がClaude CodeのGitHubリポジトリに問題を報告し、この影響で毎日大量の詐欺メールが届くようになったと述べた。同氏は、勤務先がPiとOpenRouterの組み合わせに切り替える予定だとも明かしている。
報告者はmacOS上のバージョン2.1.318を使っていた。この報告には1日で90件近いコメントと600を超える「いいね」が付いた。
メールアドレスはどう外へ出たのか
Anthropicの社員とコメント欄の説明によると、発端は一見無害な変更だった。コードコメントのauthorなどの欄でモデルが作者名を勝手に作り出さないよう、Claude Codeはログイン中アカウントのメールアドレスをモデルのコンテキストに入れていた。
モデルは自分でcurlコマンドを書いてWebページを取得する際、このメールアドレスを連絡先としてUser-Agentに入れてしまう。スクリプト系クライアントにUAへ連絡先メールを入れるよう求めるサイトは実際にあり、Wikipediaがその一例だ。モデルはこの慣習に従った結果、ユーザーのメールアドレスは、ついでにアクセスしたあらゆるサイトに渡ることになった。
AnthropicのLydia Hallie氏は次のように回答した。
"We're removing the account email address from the context Claude Code gives the model."（アカウントのメールアドレスを、Claude Codeがモデルに渡すコンテキストから削除します。）
同氏は「this should not have happened, and we should've caught this behavior earlier.」（これは起きてはならないことで、もっと早く気づくべきだった）とも書き、修正は次のバージョンで公開され、来週初めになる見込みだと述べた。記事執筆時点でそのバージョンは未公開で、問題報告も未解決のままだ。
時系列を整理する
この件は数か月にわたって放置されていた。コメント欄と報道をまとめると次のとおり。
- 7月：GitHubに番号81138のissueが既に提出されており、コメント者は同じ挙動を指していると見ている。
- バージョン2.1.317：Claude Codeにcc-plugin-privacyというプライバシープラグインが組み込まれた。デフォルトで有効で、Webツールの呼び出しやメールアドレスを含むcurlコマンドの実行前にユーザーへ確認する。
- 11月5日：新たな報告が登場。報告者は既に2.1.318を使っていたが、メールアドレスは送信され続けた。
- その後：公式が、コンテキストからメールアドレスを完全に外すと表明した。
7月の最初の報告から11月の正式表明まで、3か月余りかかったことになる。途中で入った修正は出口に関所を設ける発想だったが、問題は入口にある。メールアドレスがコンテキストに残る限り、モデルは別の方法でそれを外へ持ち出し得る。報道では、このプラグインはClaudeが自らスクリプトを書いて実行するケースには効かないと指摘している。コメント欄には、プラグインが/pluginsメニューに表示されない、あるいは読み込み済みと表示されてもメールアドレス入りのコマンドが実行できてしまう、という声もある。こうした報告は現時点で検証できず、公式もプラグインが機能しない具体的な状況には回答していない。
もう一つ気になるのが配布チャンネルだ。報道によると、当時の安定版チャンネルは2.1.311のままで、確認の関所すら入っていなかった。安定版のユーザーは、プラグインを得るために手動でアップグレードする必要がある。
今できること
コミュニティが挙げる暫定策は2つある。1つは、アカウントのメールアドレスとUser-Agentパラメータの両方を含むコマンドをpre-tool-use hookで遮断する方法。もう1つは、メールアドレスは指定ドメインへのリクエストにのみ現れてよいと、CLAUDE.mdに明記する方法だ。前者の方法は、既に自分の設定リポジトリに公開した開発者もいる。
チームで使うユーザーの場合、影響範囲はログインしているアカウントによる。会社のメールアドレスでログインしていれば漏れるのは業務用アドレスで、フィッシングメールは企業の受信箱に直接届く。どのサイトがこれらのUAを受け取ったか、サーバーログがどれだけ保持されるかは、相手サイト次第であり、Anthropicがユーザーに代わって取り消すことはできない。
参考資料：Claude Code GitHub問題報告、CocoLoop、AI Chat Daily、Trending Topics。問題報告で影響を受けるバージョン番号とプライバシープラグインの説明を確認した。Anthropic社員の発言は公開された返信を基準とする。