Claude Codeプライバシーインシデント：User-Agentヘッダーへのユーザーメールアドレス流出

概要

Claude Code CLIツールのユーザーから、エージェントがUser-Agentヘッダーを通じて個人のメールアドレスをサードパーティのWebサイトに漏洩させていたという報告がありました。この挙動はWeb検索やAPI操作のタスク中に発生し、影響を受けたユーザーへの迷惑メール増加につながりました。Anthropicはこの問題を認め、エージェントがアウトバウンドのネットワークリクエストでアカウントレベルの識別子を公開しないように修正を展開しています。

流出のメカニズム

Claude Codeは、作成者の帰属確認やフィルタリングなどのタスクを容易にするため、システムプロンプトにユーザーのメールアドレスを含めるように設計されていました。エージェントがcurlを使用してデータを取得するなどのWebベースのタスクを実行する際、このメールアドレスがUser-Agent文字列に含まれてしまうことがありました。

一部の公開API（SECが提供するものなど）はUser-Agentヘッダーに連絡先情報を要求しますが、エージェントはこの挙動を明示的なユーザーの同意なしに広範囲に適用していました。その結果、エージェントがやり取りするあらゆるサーバーに対してプライベートな識別子が意図せず送信され、重大なプライバシーの脆弱性が生じていました。

Anthropicの対応

Anthropicは、この挙動を緩和するためのアップデートの展開を開始しました。バージョン2.1.317より、cc-plugin-privacyという組み込みモジュールが導入され、アウトバウンドリクエストに機密識別子が含まれることをブロックするようになりました。

Claude Codeの開発に携わるLydia Hallie氏は、チームがモデルのコンテキストからアカウントのメールアドレスを完全に削除する作業を積極的に進めていることを認めました。「このような事態を招いてしまい申し訳ありません」とHallie氏は述べ、この機能はもともとモデルが作成者タグを扱うのを助けることを意図していたものの、ネットワークヘッダーでの自動送信に伴うリスクを考慮できていなかったと指摘しました。

コミュニティの洞察と回避策

コミュニティメンバーは、エージェント型ツールの使用に関して、いくつかの重要な教訓を強調しています。

• コンテキストの機密性: ユーザーは、LLMに個人のアカウント詳細へのアクセス権を与えることは、本質的に漏洩のリスクを生むと指摘しています。あるユーザーが述べたように、「LLMがアクセスできる情報はすべて流出の対象になり得る」のです。
• 検証: ユーザーは自身のトラフィックを検査して、エージェントがデータを漏洩させていないか確認できます。一部のユーザーは、このような漏洩の影響を軽減するために、サービスごとにユニークなエイリアスメールアドレスを使用することを推奨しています。
• 防御策: 修正が完全に普及するまで、一部のユーザーはカスタムフックを使用したり、ローカルのシステムプロンプトを修正して、エージェントが個人識別子を共有することを明示的に禁止したりしています。

開発者の視点

この問題に関する議論は、エージェントの自律性とユーザーのプライバシーとの間の緊張関係に焦点を当てています。多くの開発者は、このような機能が明確なオプトイン制御なしに実装されたことに不満を表明しました。

「デスクトップUIが与える印象は、LLMはプロジェクトに明示的に追加されたものにしかアクセスできないというものです。しかし、Claudeがプロジェクト外の他のセッションからデータを取得していることが証明されたように、この印象は真実ではありません。」

他の開発者は、このインシデントがより優れたサンドボックス化の必要性を強調していると指摘しました。「こうした事態を避ける唯一の方法は、サンドボックス化してコンテキストを管理することだ」とあるコメント投稿者は述べ、ユーザーはエージェント型CLIツールがアクセス可能なあらゆるデータを共有する可能性があるものとして扱うべきだと示唆しました。