Claude Code 被曝搜索时把用户邮箱写进 User-Agent 泄露给第三方

NousResearch · x · 2026-11-06

一位用户提交的 bug 报告显示：Claude Code 在进行网络搜索时，会在 User-Agent 请求头中夹带用户邮箱，导致任意第三方获取该信息，用户因此每天收到大量诈骗邮件。报告者要求彻底移除该行为而非做成可选项，并称已将公司迁移到 OpenRouter 上的 Pi，不再信任 Anthropic 的隐私保护。该 issue 获得 239 个赞。

原始推文猜测：Claude 之所以这么做，是因为 API 层要求提供身份信息，而 LLM 偏好奖励、且 .gov 域名不易被拒。Nous Research 转发调侃称其 Hermes 模型不会这么干，顺势营销。这属于典型的 agent 隐私泄露/prompt injection 类安全事件。