Claude Code가 로그인한 사용자의 이메일 주소를 웹 요청의 User-Agent 헤더에 넣어, 접속하는 서드파티 사이트로 보내는 것이 개발자들에 의해 확인됐다. 11월 5일 사용자 taylor-edwards가 Claude Code GitHub 저장소에 이슈를 제출해, 이 때문에 매일 대량의 스캠 메일을 받고 있다고 밝혔다. 그는 소속 회사가 Pi와 OpenRouter 조합으로 바꿀 예정이라고도 했다.
제보자는 macOS의 2.1.318 버전을 사용했다. 이 제보에는 하루 만에 90건 가까운 댓글과 600개가 넘는 추천이 달렸다.
이메일은 어떻게 밖으로 나갔나
Anthropic 직원과 댓글 설명에 따르면 발단은 겉보기에 무해한 변경이었다. 모델이 코드 주석의 author 같은 항목에 작성자 이름을 멋대로 지어내지 못하게 하려고, Claude Code가 로그인한 계정의 이메일을 모델 컨텍스트에 넣었다.
모델이 직접 curl 명령을 작성해 웹 페이지를 가져올 때, 이 이메일을 연락처로 보고 User-Agent에 넣는다. 스크립트 클라이언트에 UA에 연락용 이메일을 남기도록 요구하는 사이트가 실제로 있으며 위키피디아가 그 예다. 모델이 이 관행을 따른 결과, 사용자의 이메일은 지나가다 들른 모든 사이트로 전달됐다.
Anthropic의 Lydia Hallie는 다음과 같이 답했다.
"We're removing the account email address from the context Claude Code gives the model."(계정 이메일 주소를 Claude Code가 모델에 제공하는 컨텍스트에서 제거하고 있습니다.)
그는 "this should not have happened, and we should've caught this behavior earlier."(이런 일은 있어서는 안 됐고, 이 동작을 더 일찍 잡아냈어야 했다)라고도 적었으며, 수정은 다음 버전에서 배포되고 다음 주 초가 될 것으로 예상된다고 밝혔다. 기사 작성 시점까지 해당 버전은 출시되지 않았고 이슈도 열린 상태다.
시간순으로 정리하면
이 문제는 몇 달 동안 방치됐다. 댓글과 언론 보도를 종합하면 다음과 같다.
- 7월: GitHub에 번호 81138 이슈가 이미 올라와 있었고, 댓글 작성자들은 같은 동작을 가리킨다고 본다.
- 2.1.317 버전: Claude Code에 cc-plugin-privacy라는 프라이버시 플러그인이 내장됐다. 기본으로 켜져 있으며, 웹 도구 호출이나 이메일이 든 curl 명령을 실행하기 전에 사용자에게 먼저 묻는다.
- 11월 5일: 새 제보가 나왔다. 제보자는 이미 2.1.318을 쓰고 있었는데도 이메일이 그대로 전송됐다.
- 이후: 공식 측이 컨텍스트에서 이메일을 완전히 빼겠다고 밝혔다.
7월의 첫 제보에서 11월의 공식 입장까지 석 달 남짓 걸린 셈이다. 중간에 나온 패치는 출구에 관문을 하나 더 세우는 발상이었지만 문제는 입구에 있었다. 이메일이 컨텍스트에 남아 있는 한 모델은 다른 방식으로 이를 들고 나갈 수 있다. 언론 보도는 이 플러그인이 Claude가 직접 스크립트를 작성해 실행하는 경우는 관리하지 못한다고 지적한다. 댓글에는 플러그인이 /plugins 메뉴에 아예 보이지 않는다거나, 로드됨으로 표시되는데도 이메일이 든 명령이 그대로 실행된다는 사용자도 있다. 이런 제보는 현재 확인할 수 없고, 공식도 플러그인이 작동하지 않는 구체적 상황에 답하지 않았다.
또 하나의 세부 사항은 배포 채널이다. 보도에 따르면 당시 안정 버전 채널은 2.1.311에 머물러 있어 확인 관문조차 없었고, 안정 버전 사용자는 플러그인을 받으려면 직접 업그레이드해야 한다.
지금 할 수 있는 일
커뮤니티가 제시한 임시 방법은 두 가지다. 하나는 pre-tool-use hook으로 계정 이메일과 User-Agent 매개변수가 함께 들어간 명령을 가로채는 것이고, 다른 하나는 CLAUDE.md에 이메일은 지정한 도메인으로 가는 요청에만 나타날 수 있다고 명시하는 것이다. 앞의 방법은 이미 자신의 설정 저장소에 올린 개발자도 있다.
팀 사용자의 경우 영향 범위는 로그인한 계정에 달려 있다. 회사 이메일로 로그인했다면 유출되는 것은 업무용 주소이고, 피싱 메일은 기업 받은편지함으로 곧장 날아든다. 어떤 사이트가 이 UA를 받았는지, 서버 로그가 얼마나 보관되는지는 상대 사이트에 달려 있고, Anthropic이 사용자 대신 회수할 방법은 없다.
참고 출처: Claude Code GitHub 이슈, CocoLoop, AI Chat Daily, Trending Topics. 이슈에서 영향 받는 버전 번호와 프라이버시 플러그인 설명을 확인했으며, Anthropic 직원 발언은 공개 답변을 기준으로 한다.