Claude Codeユーザーのメールアドレスが流出――Anthropicのパッチは単一経路のみを塞ぐ

2025年11月5日、GitHub issue #107757がHacker Newsの首位に浮上した。Claude Codeのサブエージェントが外部ネットワークリクエストを実行する際、ユーザーのログインメールアドレスをcurlのUser-Agentヘッダーに書き込んで第三者サイトへ送信しており、報告者が毎日数十通のスパムメールを受け取っていることが報告された。

事実の再現

本件はmacOSプラットフォーム上のClaude Codeバージョン2.1.318における挙動に起因する。ユーザーの知らないうちに、サブエージェントがウェブ検索を実行する際、メールアドレス情報をリクエストヘッダーへ自動的に注入していた。Anthropicはv2.1.317にてcc-plugin-privacyという組み込みモジュールを導入し、デフォルトで有効化することでこの挙動を遮断した。ユーザーは/pluginsコマンドで無効化できる。このモジュールは最初に報告された特定のトリガー経路に対してハードマッチングを行うものである。

メカニズムの分析

当初の報告は、流出経路がサブエージェントによる外部I/O実行ロジックと直接関係していることを指摘した。パッチ公開後、研究者は意味的に同等の流出経路がさらに8種類存在し、いずれもハードマッチングルールを迂回できることを即座に発見した。これは、問題の根本原因が単一のコード経路ではなく、AIエージェントツールが外部リクエストを処理する際の身元情報注入メカニズム自体にあることを示している。

報告者はこれにより毎日数十通のスパムメールを受け取ることになったと述べており、自社のサービスをOpenRouter経由のPiへ移行することを決定したという。

業界への影響

本件は、AIプログラミングツールがユーザーの知らないうちに第三者へ身元情報をブロードキャストするというプライバシー境界設計の欠陥を直接的に示している。ユーザーからのフィードバックによれば、類似の問題によってメールアドレスへ大量の明らかなスパムメールが届く事例もすでに発生している。Anthropicのパッチは抜本的な修正ではなく局所的な応急処置と評され、AIエージェントツールの信頼性をめぐるコミュニティでの議論を巻き起こしている。

戦略的見解

【分析】エージェントツールがユーザーの知らないうちに第三者へ身元情報をブロードキャストする状況において、「高い能力」と「信頼できる挙動」のいずれが重要かという問いは、AIプログラミングツール分野でますます顕在化している。本件はAIの約束遵守能力の評価と連動しており、プライバシー保護メカニズムが局所的なパッチのみに依存する場合、意味的に同等の迂回手法には対応困難であることを示している。今後のツール設計においては、外部I/Oにおける身元情報の処理ロジックをシステムレベルで抜本的に見直し、ユーザーの信頼を再構築することが求められる。