Am Mittwochabend hat ein Nutzer im Claude-Code-Repository ein Issue aufgemacht, das binnen Stunden 687 Punkte bei Hacker News holte. Der Vorwurf: Claude Code habe während einer Websuche seine Mail-Adresse im User-Agent an fremde Server geschickt, ohne zu fragen. Seitdem bekomme er täglich dutzendweise Betrugsmails.
Das Issue heißt „Bug Report: Privacy violation in User-Agent header“, es ist am 5. November um 22:13 UTC geöffnet worden und trägt unter anderem das Label area:security. Der Melder lief auf Version 2.1.318. Er schreibt, er ziehe seine Firma auf eine andere Oberfläche um.
Anthropic verweist auf ein Mod, das seit 2.1.317 läuft
Gut eine Stunde später antwortet ein Contributor aus dem Repository: Seit v2.1.317 gebe es ein eingebautes Mod namens cc-plugin-privacy, das dieses Verhalten deterministisch blockiere. Standardmäßig eingeschaltet, abschaltbar über /plugins.
In einem zweiten Kommentar ordnet er den Vorgang ein. Niemand habe das Verschicken der Adresse als Feature gebaut. Der Ablauf sei dieser: Wikipedia verlangt von Skript-Clients eine Kontaktadresse im User-Agent, ein Nutzer bittet Claude um Recherche bei Wikipedia, und Claude setzt daraufhin die eigene Kontoadresse in seinen curl-Aufruf. Sein Fazit: „Models can be highly unpredictable.“ Genau deshalb brauche es deterministische Prüfungen um das Modellverhalten herum.
Seit dem 6. November, 00:00 UTC, liegt der Quelltext des Mods im Repository unter mods/privacy.
Der Prüfpunkt sitzt an einer anderen Stelle als der Schaden
Die README dieses Mods ist ungewöhnlich offen, und sie beantwortet den Fall des Melders selbst. Geprüft wird ein tool.check-Hook: Ein Bash-, PowerShell- oder Monitor-Aufruf wird verweigert, wenn in seiner Eingabe die Kontoadresse steht und ein User-Agent benannt ist. Zwei Wortfunde über die gesamte Eingabe, kein Parser, absichtlich nicht. Fehlalarme nimmt Anthropic dafür in Kauf.
Darunter steht, was durchgeht. Die Adresse ohne User-Agent, etwa in einer URL, einem Request-Body oder einem From:-Header. Ein zur Laufzeit berechneter Wert. Eine Variable, eine Datei. Und: „A web tool call. WebFetch and WebSearch are not checked, and neither are MCP tools.“ Das Mod nennt sich in der README selbst eine Höflichkeit, keine Grenze.
Websuche ist der Weg, den der Melder beschreibt. Er ist nicht abgedeckt.
Zwei Nutzer finden das Mod gar nicht
In den 36 Kommentaren meldeten sich zwei Leute auf 2.1.318, bei denen cc-plugin-privacy in /plugins nicht auftaucht; einer sagt, seine Logs zeigten die Adresse an fremde Domains. Ein Dritter hat den dokumentierten Fall nachgebaut: ein echo mit User-Agent: und der eigenen Kontoadresse. Auf 2.1.317 und 2.1.318 wurde er in drei Oberflächen ausgeführt statt verweigert.
Der Fall ist älter als die Aufregung
Ein Kommentar nennt Issue 81138 vom Juli, in dem dasselbe schon stand. Gehandelt wurde, als die Sache bei Hacker News oben stand. Wer die Adresse im Kontext nicht braucht, sollte sie dort auch nicht haben – ein Hook, der zwei Wörter zählt, repariert nur die Fälle, an die jemand gedacht hat.