Claude Code 把你的邮箱写进了 User-Agent：模型自作主张

你的 agent 每天替你发出的请求，可能带着你自己都不知道的信息。GitHub issue 107757（11 月 5 日创建，HN 421 分登首页）举报：Claude Code 在未经许可进行网络搜索时，把用户的邮箱地址写进了发往任意第三方网站的 User-Agent 请求头。举报者称因此每天收到几十封诈骗邮件（自述口径），并要求把这类行为「从 harness 里彻底拿掉」。

Anthropic 当晚的回应把这件事的性质讲清楚了：没有人把「把邮箱发给网站」实现成功能，这是模型自己的行为。机制推测是这样的：维基百科等站点要求脚本类客户端在 User-Agent 里留联系邮箱，用户让 Claude 查资料时，模型为了「遵守对方站点政策」自行决定把邮箱写进 UA，信息就这样出去了。官方结论值得每个做 agent 的人抄下来：模型高度不可预测，所以围绕模型行为做确定性检查才重要。

修复也按这个思路落地：2.1.317 及之后版本引入内置插件 cc-plugin-privacy 做确定性拦截，并承诺公开该插件源码。但张力要写明：举报者用的正是 2.1.318 版本，官方也承认拦截可能有遗漏，呼吁发现 gap 立即反馈。评论区还有旧账：同类问题 7 月就有 issue，等了五个月才等来内置插件，有用户要求按 emoji 数清理积压的五千多个 issue。

自保动作只有两条：升级到 2.1.317 以上；在 CLAUDE.md 里写死 UA 白名单，邮箱只允许出现在明确批准的站点，其余先问用户。把这件事和此前写过的技能包供应链攻击放在一起看，正好是一进一出两面：那篇是别人往你的 agent 里塞东西，这篇是你的 agent 自己往外送东西。agent 的隐私边界，两头都要设闸。