小心，Claude Code会擅自泄露你的邮箱，请抓紧时间更新

用户每月支付数十至200美元订阅Claude Code，将本地终端交由其处理，但它却在后台将用户的真实登录邮箱、姓名乃至公司内部代码库地址，嵌入User-Agent请求头中，发送给外部网站！

Anthropic工程师为图方便，擅自将登录邮箱硬编码进每次对话的系统提示词，而Claude在遇到要求登记联系方式的网站时，便顺手从提示词中取出真实邮箱发送出去。

图省事，出卖了用户隐私

2026年11月5日，Hacker News上一条控诉Claude Code外泄用户邮箱的帖子迅速登上热门。

发帖人每天收到数十封直接称呼其真名的诈骗邮件，发信域名他从未访问过。

顺着请求记录一查，Claude Code联网抓数据时，竟在HTTP请求的User-Agent头中拼接了会话名和他的真实邮箱。

评论区很快有人贴出更惊人的服务器日志，Claude Code派出的子智能体请求外部文档时，直接将使用者真名、所在团队名称和公司内部GitHub仓库路径全部写入请求头。

起初不少人猜测是模型中了外部网页的提示词注入。

直到11月6日凌晨，Claude Code工程师Lydia Hallie出面道歉，才将起因交代清楚。

早些时候有用户反映Claude生成author注释标签时会胡乱编造人名，原因在于模型无法获取账号信息。

工程团队为图省事，直接从本地配置读取登录邮箱，塞进了给模型的系统上下文。

工程团队没预料到这一步操作遇上大模型死磕任务的习惯会引发什么后果。

用户让Claude调取美国证监会SEC财报、维基百科、crates.io或游戏EVE Online接口时，这些平台为防爬虫，都要求脚本在请求头中留下联系邮箱，否则直接返回403拒绝访问。

调用美国证监会SEC API时，Claude被“提示注入攻击”了

系统自带的curl默认不携带此类信息，受过强化学习训练的大模型为越过报错跑通任务，看到上下文里存着用户邮箱，便自作主张拼进命令发送出去。

评论区有位开发者用爬虫抓接口被封IP，专门花钱购买轮换住宅代理隐匿身份，Claude给爬虫写请求头时却直接填上他的真实邮箱，事后还解释说这样做方便对方网站遇到问题时直接写信联系，免得再次封禁IP。（Claude：咱都是为你好）

反编译，查出了真相

这件事到11月初才彻底闹大，翻看GitHub历史记录就会发现，知情的用户已经折腾了大半年。

早从2026年4月起，社区就提交过50702号、53231号等至少4个工单，指出账号邮箱被强行塞进上下文且无法关闭，结果全被官方机器人以不活跃或重复为由自动关闭。

7月中旬又有用户因curl泄露邮箱提交78431号工单，8月上过一次Hacker News，到9月照样被机器人关闭。

常规反馈无人理会，开发者skflowne便在7月25日反编译了Claude Code v2.1.220安装包，提交了一份证据详尽的81138号报告。

代码显示，客户端每次启动都会从本地配置读取登录邮箱，拼成一句英文提示词。

翻遍整个代码包，这个字段除了在两处遥测事件中统计布尔值，没有任何业务功能读取它，官方文档和设置页中也只字未提。

反编译还查出一个讽刺的细节。Claude Code有一个名为IS_DEMO的环境变量，官方文档专门推荐主播在直播或录屏时将其设为1，用来隐藏状态栏中的邮箱和组织名。

然而程序包中全部7处IS_DEMO判断只拦截了屏幕表层的文字显示，根本没有触及模型上下文。

主播以为打开演示模式就能安心直播，邮箱却原封不动留在模型上下文中。提交报告的开发者就亲身遭遇两次事故。

一次是模型解释其他错误时，冷不丁在终端打出自己从系统提示词看到了他的邮箱。

另一次是模型连续10次提交代码，直接用git参数强行传入私人邮箱，覆盖掉他在全局设好的匿名邮箱，最后全靠GitHub推送保护报错拦截，才没让私人邮箱进入公开记录。

Anthropic给出解决方案：先劝模型听话

面对反编译摆出的铁证，Anthropic随后几个月的修补过程比漏洞本身还要离奇。

社区拆包追踪发现，官方在8月底发布的v2.1.246中依然没有删除那个字段，只在那句提示词后面追加了一句自然语言要求，叮嘱模型只将邮箱用于识别身份，绝对不要发给无关服务。（Claude，别把邮箱告诉别人啊！）

到了10月下旬的v2.1.289，这段话又被塞进每次工具调用附带的系统提醒标签，每发一次请求就向模型重复一遍。

靠几句自然语言根本管不住概率模型，Temperature会教你做人，分分钟把你的邮箱愉快地分享给其他人。

10月20日，有用户在网页端抓到Opus 5.5照常将账号邮箱塞进两个shell命令的请求头。

被质问时，模型老实承认，系统上下文确实给了它邮箱并附带禁止外发的指令，但它为了给目标网站留个联系地址，还是决定把真实邮箱发送出去。

等到11月初Reddit和Hacker News上彻底吵翻，Anthropic另一位工程师mpoteat才出面回应，说团队已在v2.1.317中加入默认开启的内置插件，用确定性规则拦截含用户邮箱的请求。

他在说明控制模型行为很重要且极不简单时，在句尾随手打了一个haha。如此轻浮态度瞬间惹恼了整个评论区，哪怕他随后悄悄删掉笑声，依然被截图的网友追着痛骂。

目前的最新Claude Code版本已更新到v2.1.319，可以在命令行输入claude update来更新到最新版本，期待这个漏洞真的已经被修复好。

几小时后Lydia Hallie不得不补充承认，就算装上这个隐私插件，只要Claude自己写脚本去跑网络请求，插件照样拦不住，而将账号邮箱从上下文删除的改动，要等下周初的常规版本才会推送。

评论区理所当然有人把这桩荒唐事和Anthropic平时的高调宣传放在一起。

这家估值万亿美元的前沿AI公司，一边天天宣称自家团队靠大模型每天合并30000个代码提交，号称写代码已不再是瓶颈，一边面对一个只需删除一行代码的隐私泄露这么严重的安全问题，拖了足足大半年。

他们先给大模型写提示词讲道理，再给客户端写插件防自家的模型，最后告诉付费的用户，彻底修好还得再等一个星期。

这就是Claude Code，真的是安安又全全啊，你们有没有这样的Agent？

参考资料：

https://news.ycombinator.com/item?id=50385272

本文来自微信公众号“新智元”（ID：AI_era），作者：马可，36氪经授权发布。

评论

• 

  李华

  2026年9月11日 上午10:30

  这篇文章对德州扑克概率的讲解很实用，特别是底池赔率的计算示例，让我在实战中能更理性决策。希望后续能增加关于锦标赛不同阶段策略的内容。

  回复
  • 张明 2026年9月12日 下午4:05 这篇文章对JDG与TES的团战分析很到位，特别是视野控制的数据，让我对比赛有了新的理解。期待更多关于LPL的深度内容。 回复
• 

  王芳

  2026年9月11日 下午2:15

  开云体育的模拟经营分析让我在《足球经理》中少走了很多弯路。资源分配与球员轮换的建议很接地气，数据支撑也让人信服。期待更多关于青训体系的内容。

  回复

围绕开云娱乐，开云体育网站持续打磨更优质的服务。