E-postadressen din ligger i Claude Codes kontekst, og modellen har lagt den i curl-kall

Saken har ligget åpen i Anthropics issue-tracker siden 17. juli, meldt mot Claude Code 2.1.212, men fikk fire kommentarer og ny oppmerksomhet 11. august. Anthropic har merket den med både «bug» og «area:security». Ingen versjon i Claude Codes CHANGELOG nevner en rettelse av User-Agent-oppførselen.

En bruker la ved verktøykallet fra sesjonsloggen sin: et Bash-kall der curl sendes med en User-Agent på formen «ashurbanipal-publish-check» etterfulgt av e-postadressen i parentes, fem ganger i løpet av én times økt. Den opprinnelige rapporten kom fra en macOS-bruker som kjørte Sonnet 5 i IntelliJ-terminalen.

Forklaringen er ikke at kjørerammen setter headeren. En annen bruker klarte ikke å reprodusere feilen på 2.1.212, og pekte i stedet på det som faktisk skjer: Claude Code legger feltet userEmail inn i modellens systemkontekst og påminnelser. Derfra er det modellen selv som velger å bruke adressen som kontaktinformasjon i en header, slik konvensjonen er for veloppdragne API-klienter.

«Kan ikke reprodusere på claude 2.1.212, macOS, sonnet5, så trolig ikke et problem i kjørerammen. Det Claude Code derimot gjør, er å injisere userEmail i systemkonteksten» — teidesu, i feilrapporten

Skillet er verdt å holde fast ved. Dette er ikke en lekkasje ut av produktet, men et tilfelle der data lagt inn i konteksten for én hensikt blir brukt til en annen av en modell som resonnerer selvstendig. Enhver identifikator du legger i en agents kontekst kan havne i utgående trafikk du ikke har godkjent.

Hva bør du gjøre?

1. Gå gjennom sesjonsloggene dine for User-Agent-headere i Bash-kall før du antar at du ikke er berørt.
2. Behandle alt som ligger i agentens kontekst som potensielt utgående data, ikke som intern konfigurasjon.