Фильтр Claude Code от утечки email видит три инструмента

Anthropic 6 ноября пообещала убрать почту аккаунта из контекста, который Claude Code передаёт модели. Релиз ожидается в начале следующей недели, а пока утечку адреса в заголовок User-Agent прикрывает только встроенный мод cc-plugin-privacy, который есть в версиях 2.1.317 и новее. Стабильный канал npm и 7 ноября стоял на 2.1.311, так что на нём адрес по-прежнему доступен модели без всякой проверки. На новых версиях мод отклоняет только вызовы Bash, PowerShell и Monitor, в которых есть ваш адрес и упомянут User-Agent.

Поводом стал тикет, открытый 5 ноября: пользователь Claude Code 2.1.318 на macOS написал, что агент без спроса вставлял его email в User-Agent веб-запросов, и теперь ему каждый день приходит мошенническая почта. Лидия Халли из команды Claude Code объяснила, что адрес начали отдавать модели после жалоб на выдуманные имена в тегах вроде @author. Когда Claude сам писал вызов curl, он иногда ставил этот адрес как контакт. Как напоминает Theainewsreport, правила Wikimedia просят скриптовых клиентов оставлять способ связи, а SEC ждёт от автоматических клиентов EDGAR email администратора. В октябре другой пользователь писал, что, по ответу самого Claude, тот делился его адресом больше 10 раз за месяц, в том числе с SEC.

Чего мод не видит

Исходники мода Anthropic выложила 6 ноября, и в его README проверка названа любезностью, а не границей. Проходят WebFetch, WebSearch и все MCP-инструменты, а также адрес в URL, теле запроса или любом другом заголовке. Не ловится и значение, вычисленное при запуске, вроде $(git config user.email). То же со скриптом, который модель сначала записала на диск через Write или Edit, а потом запустила.

Халли на Hacker News описала мод иначе: по её словам, он «спрашивает вас, прежде чем Claude выполнит вызов веб-инструмента или команду в духе curl с вашим email». В опубликованном коде отказ приходит без всякого вопроса, и ни сохранённое правило allow, ни классификатор auto mode его не снимают. Про скрипты Халли сама добавила, что мод «всё же предотвращает не все случаи, например когда Claude пишет скрипт и сам его запускает». А пользователи на macOS и Windows сообщили, что на 2.1.317 и 2.1.318 мод значился загруженным, но пропустил curl -A с их адресом на хост в зоне .invalid.

Один комментатор прошёлся по своим логам и насчитал 53 вызова в 8 сессиях с его адресом в User-Agent, почти все от субагентов, которые сами писали строки curl -A. Другой заметил, что модель ещё и придумывает для User-Agent название продукта по проекту, и заголовок связывает личность с работой. Обещанный фикс не помешает модели прочитать адрес из git config или dotfile: так, по словам третьего комментатора, Claude и узнал его email.

Та же жалоба в июле

Ровно этот сценарий в репозитории Claude Code описали ещё 17 июля: пользователь версии 2.1.212 жаловался, что агент без подтверждения отправил его настоящий email в User-Agent. 11 сентября тикет закрыли с пометками not planned и stale. Отдельный тикет от 25 июля цитирует код версии 2.1.220, который вписывает в системный промпт строку «The user's email address is ...» с адресом из ~/.claude.json, и он до сих пор открыт. Мод вышел в 2.1.317, опубликованной 2 ноября, а mpoteat из Anthropic признал на Hacker News, что команда узнала о проблеме «несколько дней назад, когда она начала разлетаться по Reddit».

Как закрыться до релиза

Версию показывает claude --version, теги канала - npm view @anthropic-ai/claude-code dist-tags. 7 ноября latest и next указывали на 2.1.319, но она вышла 6 ноября в 00:58 UTC, за несколько часов до обещания Халли, поэтому, по нашей оценке, это не тот фикс. Тем, кто сидит ниже 2.1.317, источник советует обновиться, затем открыть /plugins и убедиться, что cc-plugin-privacy установлен и включён.

Хук PreToolUse из разбора Theainewsreport отклоняет любой вызов с адресом аккаунта или глобальным git email, включая скрипты, которые Claude записывает на диск. MCP-инструменты и значения, которые скрипт достаёт при запуске, он не видит, адрес в %40 тоже пропускает. Совет того же разбора сменить user.email на noreply-адрес Git-хостинга с ним конфликтует: если команду запустит Claude, хук её заблокирует.

Каждое срабатывание скрипта поиска стоит открыть в файле сессии и прочитать сам вызов: только там видно, был ли это User-Agent и на какой хост ушёл запрос.