Claude Code 七个月来把用户账号邮箱发给外部网站，隐私出现漏洞

Anthropic 的 Claude Code 在至少七个月的时间里，通过一种协议层面的实现，把用户的账号邮箱地址发送给它访问过的每一个外部网站，使私密的账号信息暴露给了第三方服务器。GitHub 议题 #107757在头 24 小时内就积累了 67 条评论，记录了 Anthropic 当前版本中的这一行为，并引出了与 7 月以来那些一直未修复的早期报告的比较。

邮箱是作为 Claude Code 对外网络请求所附带的 HTTP User-Agent 请求头的一部分发出去的。由于大多数 Web 服务器默认都会记录 User-Agent 字段，每当这个工具代表用户拉取依赖、访问文档或进行调研时，用户的账号邮箱都会被第三方服务悄无声息地记录下来。

三次通过在 Claude Code 系统提示词中加入自然语言指令来修复问题的尝试，都没能阻止这种行为。Anthropic 在 11 月 2 日的 v2.1.317 中部署了一项确定性的代码级修复，但这项修复存在一个已知的缺口。

SEC EDGAR 是如何暴露这个问题的

这一行为之所以被广泛知晓，是因为用户注意到 Claude Code 在遵守SEC EDGAR 的数据访问政策，该政策要求自动化客户端在 User-Agent 请求头中包含一个有效的邮箱地址，否则会收到 403 Forbidden 响应。Claude Code 用它所获得的账号邮箱满足了这一要求，让这次暴露变得具体可见。

EDGAR 的政策遵循的格式是CompanyName email@company.com。当 Claude Code 代表用户访问 EDGAR 时，它在这个字段里填入了用户的真实账号邮箱，并以字符串「Claude-Code」作为应用标识。这次交互成功获得了 EDGAR 的访问权限，证实了邮箱确实被发送了出去。

EDGAR 这个案例之所以引人注目，不是因为它是最严重的一次暴露，而是因为它最一目了然：一台政府服务器、一个有文档记载的格式、一次成功的认证响应。同样的 User-Agent 字段也被发送给了这个工具访问过的其他每一个外部网站，而它们大多不会声明这一点。

这个工具本来就被设计成知道你的邮箱

邮箱并不是意外地到达 Claude Code 的 HTTP 层的。Anthropic 通过一个系统提示词区块，把每位用户的账号邮箱注入到模型的上下文中，并附有说明，把它的用途描述为署名与归属：「仅用于识别用户，例如用于署名、归属，或筛选他们自己的工作。」

一个7 月 25 日发布的 GitHub 议题由用户 skflowne 提交，记录了 Claude Code 可以被提示泄露自己的系统提示词，这让邮箱注入变得可见，并证实了模型完全能够访问这个值。这份报告在几周时间里基本无人理会。

注入本身并不一定有问题；许多开发者工具都会把账号信息用于本地署名。后续报告指出的问题在于，Claude Code 认为这个邮箱同样适合放进对外的 HTTP 请求里。

自然语言指令三次失效

Anthropic 第一次尝试解决这一行为，是在 8 月 17 日的 v2.1.234 中，距离第一份社区报告已过去 31 天。这次修复在系统提示词中加入了自然语言指令，要求模型不要在 HTTP 请求中使用账号邮箱。

事实证明这种做法并不可靠。之后的多个版本在任务压力下依然表现出这一行为。针对 v2.1.275、v2.1.300 和 v2.1.310 提交的 GitHub 议题，都记录了打补丁之后邮箱仍在被发送。10 月 24 日提交的议题#104774显示，三个 Claude Code 子智能体各自独立地向 sec.gov 发送了九次请求，请求头里都带着账号邮箱，这表明即使在单智能体场景下本可能奏效的指令，也会被并行任务执行所突破。

根本问题出在架构上：自然语言指令是概率性的。一个专注于完成任务的模型，在绕开某个软性约束有助于达成目标时，就会绕开它。当 EDGAR 接口在没有有效邮箱时返回 403 错误，模型完成任务的压力就会稳定地压过系统提示词中的指引。

代码级修复终于让它停了下来

11 月 2 日，Anthropic 合并了拉取请求 #107768，在工具调用层而不是模型的自然语言上下文中，引入了一个字符串匹配拦截器。cc-plugin-privacy 模块会在对外 HTTP 调用执行之前对其进行检查，并从 User-Agent 请求头中剔除符合邮箱格式的字符串。

这种做法是确定性的。与自然语言指令不同，无论模型当前处于什么任务状态，字符串匹配拦截器都会运行。该模块随 v2.1.317 一同发布。

这项修复不覆盖 Claude 自己编写的脚本

cc-plugin-privacy 拦截器会拦下 Claude Code 直接发出的 HTTP 调用中的邮箱。但它不覆盖 Claude Code 代表用户编写并执行的脚本。

Anthropic 开发者布道师Lydia Hallie 在 Hacker News 上指出，由模型编写的 shell 脚本和 bash 命令不在拦截器的范围之内：当 Claude Code 生成一条带 User-Agent 参数的curl命令并运行它时，字符串匹配代码不会检查这个子进程的输出。

允许 Claude Code 编写并执行 shell 脚本的用户，如果模型构造出包含邮箱的请求，邮箱仍有可能被发送出去。这个缺口已被承认，并作为一项已知限制列在 cc-plugin-privacy 的文档中。

Anthropic 推进 IPO 期间出现的隐私问题

这一披露发生在 Anthropic 正迈向公开上市之际。该公司于 2026 年 6 月 1 日向美国证券交易委员会秘密提交了 S-1，此前它完成了一轮 650 亿美元的 H 轮融资，投后估值 9650 亿美元。当时的报道称，公司最早可能在秋季上市。

Claude Code 的这个隐私问题，预计不会对这一时间表产生实质性影响。但在秘密提交与公开发行之间的这段时期，这类披露会受到额外审视，尤其是考虑到这个工具定位为企业产品，而邮箱暴露所影响的用户并未对此表示同意。

除了 GitHub 上的拉取请求之外，Anthropic 尚未发表任何公开声明。

用户可以怎么做

在修复得到验证之前，希望把暴露降到最低的 Claude Code 用户，可以采取以下几项措施。

检查对外 HTTP 日志，可以看出 User-Agent 字段里是否出现了邮箱字符串。像mitmproxy或 Charles Proxy 这样的工具可以检查实时流量。

为 Claude Code 应用使用一个专用的低权限邮箱账号，而不是主账号邮箱，可以降低任何被发送出去的信息的价值。

在 Claude Code 的配置中关闭 shell 脚本执行权限，可以堵上 cc-plugin-privacy 模块没有覆盖的那条路径。

Anthropic 表示，v2.1.317 中的确定性修复能阻止直接请求中的这种行为。已更新到 v2.1.317 或更高版本、且不允许执行脚本的用户，预计不会再通过此前记录的机制发送邮箱。