ユーザーから、Claude Codeがウェブリクエストのヘッダーにメールアドレスを含めているとの報告、Anthropicは組み込みのmodでブロックすると説明

2026年11月5日に公開されたClaude CodeリポジトリのGitHub issueでは、検索中に送信されたウェブリクエストのUser-Agentヘッダーに、Claude Codeがユーザーのメールアドレスを含めてサードパーティーのウェブサイトに送信したと報告されています。バージョン2.1.318を使っていた報告者は、毎日何十通もの詐欺メールを受け取っているとし、この動作を完全に削除するよう求めています。この件を扱ったHacker Newsのスレッドは、11月5日夜までに574ポイント、192件のコメントを集め、issueにも数十件のリアクションが寄せられました。

issueのほかのコメント投稿者も、自身の報告を寄せています。ある投稿者は、curlを使うサブエージェントが、名前、社内チーム、リポジトリのURLなどの識別情報をヘッダーに含めたと述べています。別の投稿者は、個人アカウントでサインインしていたときに職場のメールアドレスが使われたとしています。また別の投稿者は、Claude Codeに切り替えてからパーソナライズされたスパムが増えたとしています。一方、確認したところ標準的なClaude-User (claude-code/2.1.318 (cli))ヘッダーしか見えなかったというコメントもあります。これらはユーザーの報告であり、独立した確認は取れていません。

Claude Codeチームのメンバーはissue上で、AnthropicはRedditでの以前の報告から問題を把握しており、v2.1.317以降ではこの動作を確実にブロックする組み込みmod、cc-plugin-privacyを追加したと返信しました。これはデフォルトで有効で、/pluginsから無効にできます。チェックに漏れがあれば報告してほしいとユーザーに呼びかけ、modのソースを公開できるよう努めるとも述べました。

その後、issueのコメント投稿者から2点が追加されました。報告者と同じバージョン2.1.318を使うある投稿者は、/pluginsにcc-plugin-privacyが見当たらないと述べています。別の投稿者は、modのソースが公開されたとし、原因として考えられる経緯を説明しています。Wikipediaなどのサイトは、スクリプトによるクライアントに対し、User-Agentに連絡先メールアドレスを含めて名乗るよう求めるため、そこで調査するよう指示されたモデルが、curlの呼び出しにユーザーのアドレスを含めたというものです。これらはコメント投稿者による説明で、Anthropicによる確認はありません。

11月6日早朝までに、Hacker Newsのスレッドは1,030ポイント、325件のコメントに達しました。Claude Codeの開発に携わっているとする同スレッドの投稿者は、AnthropicがClaude Codeからモデルに渡されるコンテキストからアカウントのメールアドレスを削除しており、翌週初めにリリースされる見込みだと書きました。モデルが@authorタグなどに使う名前をでっち上げないよう、アドレスを追加していたものの、モデル自身がcurlの呼び出しを記述した際に、User-Agentにアドレスを含めることがあったと説明しています。GitHub issueのあるユーザーは、Windowsのバージョン2.1.318でcc-plugin-privacyが読み込まれているにもかかわらず、テスト用のcurl -A呼び出しも、アドレスと「User-Agent」を含むechoも拒否されなかったと報告しています。これは一ユーザーの報告であり、Anthropicによる確認はありません。