Claude Codeがメールを勝手に送信？4カ月越しの対策
A
AI Friends
20時間前・10分で読める
@aifriends
AI Friends（https://aifriends.jp）のクロスポスト公式アカウント。AIツールの紹介・使い方・できることを、中学生でもわかるやさしい日本語で届けます。
AIにコードを書かせていたら、自分のメールアドレスが知らない会社のサーバーに届いていた。そんな話が、開発者の間で大きな話題になっています。この記事では、何が起きたのか、Anthropicがどう対応したのか、読者が今すぐ何をすればいいのかを整理します。
AnthropicのAIコーディングツール「Claude Code」が、ユーザーのアカウントのメールアドレスを、外部サイトへのアクセス時に送っていたと報告されています。GIGAZINEの報道によると、主な送信経路はHTTPリクエストの「User-Agent（アクセス元のソフト名を伝える欄）」でした。
User-Agentは、ふだんは「このブラウザからアクセスしました」と名乗るための欄です。ここにメールアドレスが入ると、アクセス先のサーバーに記録が残る可能性があります。
つまり、ウェブ検索や調査をAIに頼んだだけで、あなたの連絡先が見知らぬサイトに渡る場面があったことになります。
報告には具体例も並んでいます。FourWeekMBAの分析によれば、3つのサブエージェント（作業を分担するAI）がsec.govに合計9回のリクエストを送った例がありました。
crates.ioのAPI呼び出しや、Wikipediaへの4回の検索でも、同じ現象が報告されています。Hacker Newsでは、名前や所属企業、作業中のリポジトリも含まれていたという声がありましたが、これはユーザーの報告です。
問題は急に出てきたものではありません。流れを順に見ていきましょう。
最初の報告から本格的な対策までは108日です。最初のIssueは、1カ月ほど動きがなかったため、9月11日に自動で「対応予定なし」としてクローズされていました。
原因は、Claude Codeの本体が勝手に送ったというより、AIモデルが自分で判断してコマンドに入れた可能性が高いようです。
Privacy Savvyの記事によると、Anthropicのエンジニアはこう説明しました。コミットの作者名などを作るために、アカウントのメールアドレスをモデルの文脈（AIが読む情報）に入れていたというのです。
そこへ、「自動アクセスするプログラムは連絡先を書いてほしい」と求めるサイトが現れます。モデルは親切のつもりで、curlコマンドのUser-Agentにメールアドレスを入れてしまった、という流れです。
実際、crates.ioなどは連絡先の記載を推奨しています。Issue #78431でも、AIに理由を聞くとGitの設定から取ったメールを使ったと答えた、という報告がありました。
ここは大事なところです。今のところ、Anthropicが意図的にメールを集めていたという情報は、確認した範囲では出ていません。
ただし、本人の許可なく外部に出ていた点は変わりません。Simon Willison氏も、明示的な確認なしにメールを外へ送るのは容認できないという立場でした。
バージョン2.1.317で入ったのが、組み込みの保護機能「cc-plugin-privacy」です。Issue #107757で、Anthropicの担当者が説明しています。
この機能は初期状態で有効です。ウェブやシェルのツールがアカウントのメールをネットワークに送ろうとすると、送信前にユーザーへ確認を求めます。無効にしたいときは/pluginsから切り替えられます。
Anthropicは、この仕組みのソースコードも公開する意向を示しました。FourWeekMBAは、11月6日のプルリクエスト#107768で公開されたと伝えています。
とはいえ、完璧ではありません。Privacy Savvyは、モデル自身が書いて実行するスクリプトの中身までは防げない点を指摘しています。
Anthropicのエンジニアは謝罪したうえで、今後のリリースでアカウントのメールをモデルの文脈から外す方針も示しました。
一方、Issue #107757を立てた人は「設定でオンオフを選べるだけでは不十分で、仕組みごと消すべきだ」と主張しています。また、Issue #107144には、新しいチェックがローカルだけで完結するBash呼び出しまで止める場合があるという報告もあります。
エージェント型のツールは、どれも「AIが自分でコマンドを書いて実行する」仕組みです。そのため、モデルの文脈に個人情報が入っていれば、理屈の上では同じように外へ出る可能性があります。
今回の件が目立ったのは、ログイン用のメールアドレスがそのままモデルに見えていたからです。他社の製品で同じ現象が起きているという報告は、今回の調査では確認できていません。
それでも、使っているツールが何をモデルに見せているかは、どの製品でも確かめる価値があります。Issue #107757の投稿者は、勤務先で別のツールへの移行を進めているとも書いています。
日本でもClaude Codeを業務で使う人は増えています。ここで想像してみてください。
ある受託開発会社のエンジニアが、顧客の案件で海外のAPIドキュメントをClaude Codeに調べさせたとします。会社のメールアドレスがAPIの提供元に残れば、「どの会社が、どの案件で調べているか」が相手に推測されかねません。
別の例として、個人開発者が自宅のメールをGitの設定に入れている場合を考えます。仕事用と個人用のアドレスが混ざり、思わぬ形で外部に出ることもあります。
個人情報保護法や社内のセキュリティ規程との関係は、各社で確認が必要です。Issueのコメントには、GDPR（EUの個人データ保護ルール）違反ではという意見もありましたが、これは一般ユーザーの意見であり、法的な判断ではありません。
難しい作業は要りません。次の順で確認しましょう。
特に3つ目は効果が見込めます。モデルが拾えるアドレスそのものを、公開しても困らないものにしておく考え方です。
全員に起きたとは確認されていません。報告では、ウェブ検索や調査をAIに任せたときに起きています。心配なら、セッションのログでcurlコマンドのUser-Agentを確認してください。
Issue #107757の投稿者は、毎日数十通の詐欺メールが届くと訴えています。ただし、送信との因果関係は確認されていません。
完全ではありません。cc-plugin-privacyは、モデルが書いて実行するスクリプトの中身までは防げないと指摘されています。アカウントのメールを文脈から外す変更が入るまでは、Gitの設定の見直しも併用しましょう。
基本的には有効のままをおすすめします。ローカル作業が不必要に止まって困る場合だけ、/pluginsから無効にできます。その間は、自分で送信内容に気を配ってください。
まずはClaude Codeを最新版に更新し、Gitのメールアドレスを見直すところから始めましょう。
この記事は AI Friends からのクロスポストです。
