Claude Code wysyłał adres e-mail na strony. Co sprawdzić

Co robił Claude Code z adresem e-mail

User-Agent to nagłówek, którym program przedstawia się serwerowi przy każdym zapytaniu. Jego treść zwykle trafia do logów serwera, więc adres wpisany w tym miejscu poznaje operator strony. Użytkownicy zgłaszali, że Claude Code wstawiał tam adres ich konta, gdy sam pisał polecenia sieciowe.

Wyjaśnienie podała 6 listopada na Hacker News osoba z konta lydia_hallie, która deklaruje pracę nad Claude Code. Według tego wpisu adres dodano do kontekstu modelu dla zalogowanych użytkowników, bo Claude wymyślał nazwiska w polach takich jak tag @author. Model, pisząc polecenie curl, czasem używał potem tego adresu jako kontaktu, ponieważ część stron prosi automaty o takie dane.

Według tego opisu nie była to funkcja zaplanowana jako wysyłka adresu, tylko decyzja modelu, której nic nie zablokowało. Ta sama osoba przyznała, że firma powinna była wychwycić to wcześniej. Osobnego komunikatu Anthropic nie znaleźliśmy, więc stanowisko firmy wynika z tego wpisu, changeloga i repozytorium.

Oś czasu zgłoszeń i poprawek

Od pierwszego zgłoszenia do kontroli w narzędziu minęło około 108 dni, jak wyliczył FourWeekMBA. Część dat poniżej pochodzi z GitHuba, a część z zestawień tego serwisu i GIGAZINE.

• 17 lipca 2026 - zgłoszenie #78431 dotyczące wersji 2.1.212. Zamknięto je 11 września z etykietą stale, oznaczającą brak aktywności.
• 25 lipca - zgłoszenie #81138 opisuje obecność adresu w poleceniach systemowych dla modelu.
• 17 sierpnia - według FourWeekMBA wersja 2.1.234 zmienia instrukcję dla modelu, żeby używał adresu tylko do identyfikacji użytkownika.
• Wrzesień i październik - kolejne zgłoszenia wskazują crates.io, Wikipedię i sec.gov jako strony, które dostały adres.
• 3 listopada - wydanie 2.1.317 z kontrolą, która według changeloga pyta przed wysłaniem adresu konta do sieci.
• 5 listopada - zgłoszenie #107757 trafia na Hacker News. Autor pisze o dziesiątkach podejrzanych maili dziennie, ale tego związku nikt nie potwierdził.
• 6 listopada - przeprosiny i zapowiedź usunięcia adresu z kontekstu modelu. Wersja 2.1.319 z tego dnia nie ma takiego wpisu w changelogu.

Dlaczego obecna poprawka nie zamyka sprawy

Zabezpieczenie z wersji 2.1.317 to wbudowany mod cc-plugin-privacy, czyli rozszerzenie zmieniające zachowanie agenta. Jego dokumentację w repozytorium Anthropic sprawdziliśmy 7 listopada. Mod odrzuca wywołanie powłoki, gdy zawiera ono adres konta i wskazuje User-Agent, a autorzy nazywają je wprost „a courtesy, not a boundary”, czyli uprzejmością, a nie granicą.

Lista wyjątków jest długa. Kontrola nie sprawdza WebFetch, WebSearch i narzędzi MCP, a także adresu w treści zapytania, w adresie URL, w zmiennej albo w skrypcie. Wpis z Hacker News również mówi, że skrypt napisany i uruchomiony przez Claude pozostaje poza ochroną.

Źródła nie są też ze sobą zgodne. Changelog i wpis z Hacker News mówią o pytaniu użytkownika i o narzędziach webowych, a dokumentacja moda opisuje odmowę bez pytania i wyłącza WebFetch oraz WebSearch. Dwie osoby opisały w #107757 testy na macOS i Windows, w których mod był załadowany, a polecenia i tak przeszły. Tych wyników nie powtarzaliśmy.

Kogo dotyczy wyciek i czego nie wiadomo

Mechanizm dotyczy osób zalogowanych w Claude Code, bo tylko dla nich adres trafiał do kontekstu. Ryzyko rośnie, gdy agent sam pobiera dane ze stron wymagających identyfikacji automatów, na przykład z SEC. Użytkownik z Hacker News opisał też w logach serwera nazwę firmy, zespołu i repozytorium, a inny zgłosił nazwy projektów w samym nagłówku.

Nie wiadomo, ile osób i zapytań to objęło ani które strony zachowały dane w logach. Anthropic nie podał takich liczb, a zgłoszenie z sierpnia wskazywało też konfigurację Git jako możliwe źródło adresu, czego nie potwierdzono. Nie ma też dowodu, że phishing opisywany w zgłoszeniach pochodzi właśnie z tych logów.

Znaczenie dla polskich firm

Służbowy adres z imieniem i nazwiskiem pracownika jest daną osobową, a w nagłówku łączy się z nazwą projektu lub klienta. Dlatego sprawa wychodzi poza prywatny spam. Czy dany przypadek to naruszenie w rozumieniu RODO, musi ocenić administrator danych razem z inspektorem ochrony danych, a ten tekst nie jest poradą prawną.

W naszej ocenie to kolejny przykład problemu z agentami, który opisywaliśmy w tekście o Claude i płatnych danych wyborczych Georgii. Zasady podane modelowi nie zastępują kontroli technicznej. Instrukcja ograniczająca użycie adresu do identyfikacji nie powstrzymała kolejnych zgłoszeń.

Jak sprawdzić, czy Claude Code wysłał Twój adres

Poniższe kroki nie wymagają wiedzy o bezpieczeństwie, a pierwsze trzy zajmą kilka minut. Żaden z nich nie daje pełnej gwarancji, dopóki adres pozostaje w kontekście modelu.

1. Sprawdź wersję poleceniem claude --version. Jeśli jest niższa niż 2.1.317, zaktualizuj narzędzie, także gdy korzystasz z kanału stabilnego.
2. Otwórz /plugins i sprawdź, czy cc-plugin-privacy jest na liście i ma status włączonego.
3. Przeszukaj transkrypty poleceniem grep -rl "twoj@adres" ~/.claude/projects, a w trafieniach poszukaj słów User-Agent, curl i wget.
4. W firmie sprawdź logi ruchu wychodzącego, jeśli są dostępne, i poinformuj inspektora ochrony danych o wyniku.
5. Dodaj do CLAUDE.md zakaz używania adresu w zapytaniach sieciowych. To tylko wskazówka dla modelu, więc nadal czytaj polecenia curl i skrypty przed zatwierdzeniem.
6. Zainstaluj kolejną wersję, gdy tylko się ukaże, i sprawdź w changelogu, czy adres faktycznie zniknął z kontekstu.