Des utilisateurs signalent que Claude Code ajoute leur adresse e-mail aux en-têtes des requêtes web ; Anthropic affirme qu’un module intégré bloque ce comportement

Un problème GitHub sur le dépôt de Claude Code, ouvert le 5 novembre 2026, signale que Claude Code a envoyé l’adresse e-mail de l’utilisateur à des sites tiers dans l’en-tête User-Agent de requêtes web effectuées lors de recherches. Selon l’auteur du signalement, qui utilise la version 2.1.318, il reçoit des dizaines d’e-mails frauduleux par jour et demande que ce comportement soit entièrement supprimé. Le fil Hacker News consacré au sujet comptait 574 points et 192 commentaires dans la soirée du 5 novembre, et le problème lui-même avait suscité des dizaines de réactions.

D’autres personnes commentant le problème rapportent leurs propres expériences. L’une affirme que des sous-agents utilisant curl inscrivent dans l’en-tête des identifiants tels que son nom, son équipe au sein de l’entreprise et l’URL de son dépôt. Une autre dit qu’une adresse professionnelle a été utilisée alors qu’elle était connectée avec un compte personnel. Une autre encore attribue une hausse des spams personnalisés à son passage à Claude Code. Une personne a vérifié et n’a vu qu’un en-tête standard Claude-User (claude-code/2.1.318 (cli)). Il s’agit de témoignages d’utilisateurs, qui n’ont pas été confirmés de manière indépendante.

Un membre de l’équipe Claude Code a répondu dans le fil que Anthropic était au courant du problème grâce à des signalements antérieurs sur Reddit et avait ajouté un module intégré, cc-plugin-privacy, qui bloque ce comportement de manière déterministe dans la version 2.1.317 et les suivantes. Il est activé par défaut et peut être désactivé dans /plugins. La personne a demandé aux utilisateurs de signaler toute faille dans ses vérifications et indiqué qu’elle tenterait de publier le code source du module.

Des personnes ayant commenté le problème plus tard ajoutent deux éléments. L’une, qui utilise la version 2.1.318 comme l’auteur du signalement, dit ne pas voir cc-plugin-privacy dans /plugins. Une autre affirme que le code source du module est désormais disponible et explique la cause probable : des sites comme Wikipedia demandent aux clients automatisés de s’identifier avec une adresse e-mail de contact dans le User-Agent ; lorsqu’on lui a demandé d’effectuer des recherches sur ces sites, le modèle a donc fourni l’adresse de l’utilisateur dans son appel curl. Ces éléments sont rapportés par des commentateurs et n’ont pas été confirmés par Anthropic.

Au début du 6 novembre, le fil Hacker News comptait 1 030 points et 325 commentaires. Une personne qui y commentait et disait travailler sur Claude Code a écrit qu’Anthropic retirait l’adresse e-mail du compte du contexte fourni au modèle par Claude Code, dans une version attendue au début de la semaine suivante. Elle a expliqué que l’adresse avait été ajoutée parce que le modèle aurait sinon inventé des noms pour des éléments comme les balises @author, et qu’il lui arrivait d’inscrire l’adresse dans le User-Agent lorsqu’il rédigeait lui-même un appel curl. Un utilisateur du problème GitHub rapporte que sous Windows, avec la version 2.1.318, cc-plugin-privacy est chargé, mais qu’un appel de test curl -A et un echo contenant l’adresse et « User-Agent » n’ont été ni l’un ni l’autre refusés. Il s’agit du témoignage d’un utilisateur, non confirmé par Anthropic.