Une personne utilisant Claude Code, l’outil en ligne de commande d’Anthropic, a ouvert le 5 novembre 2026 un rapport décrivant l’envoi de l’adresse e-mail du compte dans l’en-tête User-Agent de certaines requêtes web déclenchées par l’agent. Un contributeur du projet confirme l’existence d’un correctif publié en version 2.1.317, mais plusieurs retours indiquent qu’il ne couvre pas tous les cas.
Le signalement : une adresse e-mail transmise sans consentement
Le rapport, référencé sous le numéro 107757 sur le dépôt GitHub anthropics/claude-code, décrit un en-tête User-Agent contenant l’adresse e-mail du compte lors de recherches web effectuées par l’agent. L’auteur signale un risque concret : toute requête sortante expose l’adresse à des sites tiers, avec un effet direct sur le spam et le phishing ciblé. Il demande la suppression pure et simple du comportement, sans option à activer manuellement. Le cas rappelle un autre épisode récent chez Postman, où des plugins d’agents IA avaient été installés sans consentement clair.
GET /search?q=... HTTP/1.1
Host: example.com
User-Agent: ClaudeCode/2.1.311 (contact: [email protected])La réponse d’Anthropic : un mod de confidentialité activé par défaut
Selon un commentaire déposé sur le rapport, un mod intégré nommé cc-plugin-privacy a été ajouté en version 2.1.317 pour bloquer l’inclusion de l’e-mail dans les en-têtes sortants. Il est activé par défaut et peut être désactivé depuis la commande /plugins. D’après ce même fil, l’adresse avait été ajoutée au contexte transmis au modèle pour limiter les hallucinations de noms, par exemple dans des balises @author générées automatiquement, avant de se retrouver parfois recopiée dans l’en-tête réseau. Anthropic avait déjà commencé à formaliser la gouvernance de ses outils d’agents en confiant certains standards à l’Agentic AI Foundation.
Des limites déjà constatées
Le mod ne couvre pas tous les cas d’usage : plusieurs commentaires signalent qu’il reste inopérant lorsque l’agent écrit puis exécute lui-même un script réseau, en dehors des appels gérés directement par le harnais. Un utilisateur rapporte qu’en version 2.1.318, un test simple contenant un en-tête User-Agent et une adresse e-mail n’a pas été bloqué malgré un mod signalé comme actif. Un autre affirme que son adresse a bien été envoyée vers des domaines tiers sur cette même version. Un commentaire plus ancien renvoie vers un rapport similaire ouvert cinq mois plus tôt, resté sans correctif définitif jusqu’à ce nouveau signalement. Ce n’est pas non plus le premier incident de sécurité touchant l’écosystème de l’outil : une extension Claude Code piégée sur le Cursor Marketplace avait déjà installé une porte dérobée SSH fin octobre.
| Date | Version | Événement |
|---|---|---|
| Juin 2026 (environ) | — | Premier rapport (#81138) sur un comportement similaire |
| 5 novembre 2026 | 2.1.311 (stable) | Ouverture du rapport #107757 |
| 5 novembre 2026 | 2.1.317 | Ajout du mod cc-plugin-privacy, activé par défaut |
| Après le 5 novembre 2026 | 2.1.318 | Cas signalés où le mod ne bloque pas l’envoi |
Le mod de confidentialité ajouté en version 2.1.317 est activé par défaut, mais ne couvre pas les scripts réseau écrits et exécutés directement par l’agent.
Le rapport reste ouvert au moment de la rédaction : aucune pull request n’y est liée et le code du mod n’a pas été publié séparément. Les équipes qui utilisent Claude Code en ligne de commande ont intérêt à vérifier la version installée et à auditer les en-têtes sortants sur leurs propres scripts, plutôt que de se fier uniquement au mod par défaut.
Ce qu’il faut retenir
L’incident illustre un risque propre aux agents de code : une information ajoutée au contexte du modèle pour une raison précise, éviter d’inventer un nom d’auteur, peut ressurgir dans un endroit imprévu, ici un en-tête réseau visible par n’importe quel site contacté par l’agent. La correction annoncée réduit l’exposition par défaut, mais les retours d’utilisateurs postérieurs au correctif montrent qu’elle ne couvre pas tous les chemins d’exécution.
Ce type de fuite rappelle pourquoi il reste prudent de ne jamais faire une confiance aveugle aux en-têtes réseau envoyés par un agent, qu’il s’agisse de Claude Code ou d’un concurrent : le contexte fourni au modèle pour une tâche peut se retrouver recopié ailleurs, sans intention malveillante de l’éditeur. En attendant une correction plus complète, surveiller le trafic sortant d’un agent sur un projet sensible reste une précaution raisonnable, au même titre que l’audit d’une extension tierce. — Simon Janvier
