Eine Person, die Claude Code, das Kommandozeilen-Tool von Anthropic, nutzt, eröffnete am 5. November 2026 einen Bericht, der beschreibt, wie die E-Mail-Adresse des Kontos in den User-Agent-Header bestimmter, vom Agenten ausgelöster Web-Anfragen gelangte. Ein Mitwirkender des Projekts bestätigt einen in Version 2.1.317 veröffentlichten Fix, mehrere Rückmeldungen zeigen aber, dass er nicht alle Fälle abdeckt.
Die Meldung: eine E-Mail-Adresse ohne Zustimmung übertragen
Der Bericht, geführt unter der Nummer 107757 im GitHub-Repository anthropics/claude-code, beschreibt einen User-Agent-Header, der bei Websuchen des Agenten die E-Mail-Adresse des Kontos enthält. Der Autor weist auf ein konkretes Risiko hin: Jede ausgehende Anfrage legt die Adresse gegenüber Drittseiten offen, mit direkter Wirkung auf Spam und gezieltes Phishing. Gefordert wird die vollständige Entfernung des Verhaltens, ohne manuell zu aktivierende Option. Der Fall erinnert an eine kürzliche Episode bei Postman, wo KI-Agenten-Plugins ohne klare Zustimmung installiert wurden.
GET /search?q=... HTTP/1.1
Host: example.com
User-Agent: ClaudeCode/2.1.311 (contact: [email protected])Die Reaktion von Anthropic: ein standardmäßig aktiver Privacy-Mod
Laut einem Kommentar zu dem Bericht wurde in Version 2.1.317 ein integrierter Mod namens cc-plugin-privacy hinzugefügt, der die Aufnahme der E-Mail in ausgehende Header blockiert. Er ist standardmäßig aktiviert und lässt sich über den Befehl /plugins deaktivieren. Demselben Thread zufolge war die Adresse dem an das Modell übergebenen Kontext hinzugefügt worden, um Namens-Halluzinationen zu verringern, etwa in automatisch erzeugten @author-Tags, bevor sie gelegentlich in den Netzwerk-Header übernommen wurde. Anthropic hatte die Governance seiner Agenten-Werkzeuge bereits teilweise formalisiert, indem bestimmte Standards an die Agentic AI Foundation übergeben wurden.
Bereits festgestellte Grenzen
Der Mod deckt nicht alle Anwendungsfälle ab: Mehrere Kommentare berichten, dass er wirkungslos bleibt, wenn der Agent selbst ein Netzwerkskript schreibt und ausführt, außerhalb der direkt vom Harness verwalteten Aufrufe. Ein Nutzer berichtet, dass in Version 2.1.318 ein einfacher Test mit User-Agent-Header und E-Mail-Adresse trotz als aktiv gemeldetem Mod nicht blockiert wurde. Ein anderer gibt an, seine Adresse sei in derselben Version tatsächlich an Drittdomains gesendet worden. Ein älterer Kommentar verweist auf einen ähnlichen, fünf Monate zuvor eröffneten Bericht, der bis zu dieser neuen Meldung ohne endgültigen Fix blieb. Es ist zudem nicht der erste Sicherheitsvorfall rund um das Claude-Code-Ökosystem: eine präparierte Claude-Code-Erweiterung im Cursor Marketplace hatte Ende Oktober bereits eine SSH-Hintertür installiert.
| Datum | Version | Ereignis |
|---|---|---|
| Etwa Juni 2026 | — | Erster Bericht (#81138) zu einem ähnlichen Verhalten |
| 5. November 2026 | 2.1.311 (stabil) | Eröffnung des Berichts #107757 |
| 5. November 2026 | 2.1.317 | Mod cc-plugin-privacy hinzugefügt, standardmäßig aktiv |
| Nach dem 5. November 2026 | 2.1.318 | Gemeldete Fälle, in denen der Mod die Übertragung nicht blockiert |
Der in Version 2.1.317 hinzugefügte Privacy-Mod ist standardmäßig aktiv, deckt aber keine Netzwerkskripte ab, die der Agent selbst schreibt und ausführt.
Der Bericht ist zum Zeitpunkt dieses Artikels weiterhin offen: Es ist keine Pull Request damit verknüpft, und der Code des Mods wurde nicht gesondert veröffentlicht. Teams, die Claude Code über die Kommandozeile nutzen, sollten die installierte Version prüfen und ausgehende Header in eigenen Skripten kontrollieren, statt sich allein auf den Standard-Mod zu verlassen.
Was man sich merken sollte
Der Vorfall zeigt ein Risiko, das Code-Agenten eigen ist: Eine Information, die dem Kontext des Modells aus einem bestimmten Grund hinzugefügt wurde, um das Erfinden eines Autorennamens zu vermeiden, kann an unerwarteter Stelle wieder auftauchen, hier in einem Netzwerk-Header, der für jede vom Agenten kontaktierte Site sichtbar ist. Der angekündigte Fix verringert die Standardexposition, Nutzerberichte nach dem Fix zeigen aber, dass nicht alle Ausführungswege abgedeckt sind.
Ein solches Leck erinnert daran, warum es sich lohnt, den von einem Agenten gesendeten Netzwerk-Headern nie blind zu vertrauen, ob Claude Code oder ein Konkurrenzprodukt: Der dem Modell für eine Aufgabe mitgegebene Kontext kann an anderer Stelle wieder auftauchen, ohne böse Absicht des Herstellers. Bis ein vollständigerer Fix vorliegt, bleibt es eine vernünftige Vorsichtsmaßnahme, den ausgehenden Datenverkehr eines Agenten bei einem sensiblen Projekt zu beobachten, ebenso wie man eine Drittanbieter-Erweiterung prüfen würde. — Simon Janvier
