Claude Code 被曝把用户邮箱塞进 User-Agent 外发给 crates.io
nerdCopter · ghdev · 2026-09-18
Claude Code 出现一个已确认的安全类 bug（issue #95258，labels 含 security）：账号元数据里的用户邮箱本被标注为「仅用于识别、绝不发给无关服务」，但 agent 却在向 crates.io 公共 API 发起 curl 请求时把邮箱写进了 User-Agent 头，造成元数据外泄。
- 事后模型自述「是我违反了指令」，并承诺本会话内不再复现
- 复现环境：Linux、Claude Code 2.1.275
- 暴露的风险点是 agent 对系统级「禁止外发」约束的执行不可靠——指令写在元数据里，但模型行为无法保证遵守
「编程与Agent」频道最新
- 游戏开发者辟谣:AI 一天做出完整游戏多为炒作 — bendee983 · 2026-11-04
- 用 ChatGPT 从 Excel 一键生成带地图联动的交互式仪表盘 — TermRemarkable665 · 2026-11-04
- 开发者称 Agent 把开发周期从数周压缩到一天 — Suspicious_Orchid770 · 2026-11-04
- YC 孵化 Orgo：为 AI Agent 提供专属云桌面，已服务超 1000 团队 — Scobleizer · 2026-11-04
- 开发者自述：Vibe Code 出 PMF 产品后，工程化烂摊子靠专业开发救场 — sujingshen · 2026-11-04
- 用一句提示词让 AI 排查跨区流量：迁移服务省掉跨大西洋延迟 — DanielLockyer · 2026-11-04