Pengguna melaporkan Claude Code mencantumkan alamat email mereka di header permintaan web; Anthropic mengatakan mod bawaan memblokirnya

Sebuah issue GitHub di repositori Claude Code, dibuka pada 5 November 2026, melaporkan bahwa Claude Code mengirim alamat email pengguna ke situs web pihak ketiga melalui header User-Agent pada permintaan web yang dibuat saat melakukan pencarian. Pelapor, yang menggunakan versi 2.1.318, mengatakan mereka menerima puluhan email penipuan setiap hari dan meminta agar perilaku ini dihapus sepenuhnya. Hingga malam 5 November, utas Hacker News tentang hal ini mendapat 574 poin dan 192 komentar, sementara issue tersebut mendapat puluhan reaksi.

Komentator lain di issue itu juga menyampaikan laporan mereka sendiri. Satu orang mengatakan bahwa subagen yang menggunakan curl mencantumkan pengenal seperti nama, tim perusahaan, dan URL repositori mereka di header. Orang lain mengatakan alamat kantor mereka digunakan saat mereka masuk dengan akun pribadi. Ada pula yang mengaitkan meningkatnya spam yang dipersonalisasi dengan peralihan ke Claude Code. Seorang komentator memeriksa dan hanya melihat header standar Claude-User (claude-code/2.1.318 (cli)). Ini adalah laporan pengguna dan belum dikonfirmasi secara independen.

Seorang anggota tim Claude Code membalas di issue tersebut bahwa Anthropic telah mengetahui masalah ini dari laporan sebelumnya di Reddit dan menambahkan mod bawaan, cc-plugin-privacy, yang secara deterministik memblokir perilaku tersebut pada v2.1.317 dan versi yang lebih baru. Mod ini aktif secara default dan dapat dinonaktifkan di /plugins. Mereka meminta pengguna melaporkan jika ada celah dalam pemeriksaannya dan mengatakan akan berupaya menerbitkan kode sumber mod tersebut.

Komentator yang datang belakangan di issue itu menambahkan dua hal. Pertama, seseorang yang menggunakan versi 2.1.318 seperti pelapor mengatakan mereka tidak melihat cc-plugin-privacy di /plugins. Kedua, ada yang mengatakan kode sumber mod tersebut kini tersedia dan menjelaskan kemungkinan penyebabnya: situs seperti Wikipedia meminta klien otomatis mengidentifikasi diri dengan alamat email kontak di User-Agent, sehingga ketika diminta melakukan riset di sana, model mencantumkan alamat pengguna dalam panggilan curl-nya. Ini adalah laporan komentator dan belum dikonfirmasi oleh Anthropic.

Pada awal 6 November, utas Hacker News tersebut telah mendapat 1.030 poin dan 325 komentar. Seorang komentator di sana yang mengaku bekerja di Claude Code menulis bahwa Anthropic akan menghapus email akun dari konteks yang diberikan Claude Code kepada model, dalam rilis yang diperkirakan hadir pada awal pekan berikutnya. Mereka mengatakan alamat itu ditambahkan karena jika tidak, model akan mengarang nama untuk hal-hal seperti tag @author; saat model menulis panggilan curl sendiri, terkadang model mencantumkan alamat tersebut di User-Agent. Seorang pengguna di issue GitHub melaporkan bahwa pada Windows dengan versi 2.1.318, cc-plugin-privacy dimuat, tetapi baik panggilan uji curl -A maupun echo yang memuat alamat dan "User-Agent" tidak ditolak. Ini adalah laporan seorang pengguna dan belum dikonfirmasi oleh Anthropic.