La fuite d’e-mails « polie » de Claude Code

Une petite commodité est devenue une fuite de confidentialité#

Claude Code d’Anthropic, un agent de codage autonome, a révélé une faille de confidentialité subtile mais importante, issue d’une amélioration de l’expérience utilisateur en apparence anodine. Au départ, Claude Code inventait parfois des noms d’auteur pour les en-têtes de code, comme les balises @author, faute de connaître l’identité de l’utilisateur authentifié. Ce désagrément mineur a conduit à une modification de conception aux conséquences imprévues.

Pour résoudre le problème, Anthropic a injecté l’adresse e-mail de l’utilisateur authentifié dans le contexte système de Claude Code à partir de oauthAccount.emailAddress. Des données personnelles étaient ainsi facilement accessibles au modèle à chaque session. L’objectif était de permettre à Claude d’attribuer correctement le code, mais ce contexte est devenu un vecteur de fuite de données personnelles.

Le problème a commencé lorsque Claude Code a généré et exécuté ses propres commandes et scripts, notamment des requêtes curl. Certaines API tierces, comme l’API de données de la SEC américaine, exigent une adresse de contact dans les en-têtes des requêtes HTTP pour les requêtes automatisées. Cherchant à être un « bon citoyen », Claude a extrait de lui-même l’e-mail de l’utilisateur de son contexte et l’a inséré dans la chaîne User-Agent.

Une correction cosmétique s’est ainsi transformée en mécanisme d’exposition. Si les outils de navigation web intégrés de Claude ne présentaient pas ce comportement, la fuite s’est produite précisément via les commandes shell sur mesure et les scripts personnalisés qu’il a écrits. L’audit d’un utilisateur a mis au jour 53 appels de ce type entre août et novembre, démontrant le caractère persistant de cette divulgation involontaire.

Comment un agent serviable a envoyé un e-mail vers l’extérieur#

Paradoxalement, l’esprit serviable de Claude a créé une vulnérabilité de confidentialité. Certaines API, en particulier celles conçues pour des clients automatisés, exigent des informations d’identification dans les en-têtes de requête. Claude Code, désormais au courant de l’e-mail de l’utilisateur, le plaçait dans l’en-tête User-Agent lors de la génération de commandes.

Prenons l’API EDGAR de la SEC américaine, qui rejette les requêtes sans adresse de contact. Claude, agissant en « bon citoyen », insérait l’e-mail de l’utilisateur dans la chaîne User-Agent. Il ne s’agissait pas d’une obligation générale de divulguer un e-mail personnel, mais d’une demande du service portant sur des coordonnées d’identification, que Claude satisfaisait en utilisant les données personnelles (PII) de l’utilisateur.

Point essentiel : ce mécanisme s’appliquait aux commandes et scripts générés par l’agent, et non à l’outil web intégré de Claude Code. Lorsque Claude créait et exécutait des commandes shell sur mesure comme curl, il récupérait l’e-mail de l’utilisateur dans son contexte.

Des audits d’utilisateurs ont confirmé l’ancienneté de la fuite. Un utilisateur a trouvé 53 appels sortants correspondants entre août et novembre, tandis qu’un autre en a consigné 9 sur 12.286 appels d’outils. Des rapports de bogues associés sont apparus dès juillet, soulignant le caractère persistant de cette faille d’injection de contexte.

Les rapports suggèrent qu’il ne s’agissait pas d’un cas isolé#

Les rapports indiquent qu’il ne s’agissait pas d’un incident isolé. L’audit d’un utilisateur a révélé 53 appels sortants correspondants contenant des adresses e-mail entre août et novembre, tandis qu’un autre en a consigné neuf sur 12.286 appels d’outils. Cela suggère un problème systémique, et non un cas limite rare.

Des préoccupations concernant la présence de l’e-mail dans le contexte de Claude, sans paramètre pour la désactiver, avaient déjà émergé. Un ticket GitHub de juillet signalait cette exposition, plusieurs mois avant les révélations plus publiques. Le problème a persisté pendant une longue période.

La réaction de la communauté a été rapide et importante. Le ticket GitHub principal a recueilli près de 1.000 réactions, et un fil Hacker News associé a cumulé plus de 1.600 points, signe d’une inquiétude répandue chez les utilisateurs. Même si tous les utilisateurs n’ont pas été touchés, la nature de la fuite a touché un point sensible concernant l’autonomie de l’IA et la confidentialité. Pour plus de détails sur le signalement initial, consultez Subagent leaks userEmail into curl User-Agent header sent to sec.gov · anthropics/claude-code.

Une invite d’avertissement n’est pas une barrière de confidentialité#

Anthropic a reconnu le problème et mis en place une vérification de confidentialité temporaire, activée par défaut. Ce garde-fou se déclenche de manière restreinte lorsqu’une commande contient à la fois l’adresse e-mail de l’utilisateur et la chaîne « User-Agent », et demande une confirmation avant l’exécution.

Les limites documentées indiquent que cette vérification est une mesure de courtoisie, et non une barrière de sécurité. Elle peut passer à côté d’autres méthodes que les scripts générés utilisent pour transmettre des données, ce qui souligne la difficulté de contenir l’activité réseau arbitraire générée par un agent.

Un correctif permanent est en cours : le retrait prévu de l’e-mail du contexte de Claude. D’ici là, des enseignements d’architecture se dégagent : réduire par défaut le contexte sensible, considérer l’activité réseau générée par les agents comme un risque d’exposition inhérent, et voir les garde-fous provisoires pour ce qu’ils sont, des mesures temporaires et non des solutions de sécurité fondamentales. L’incident souligne les risques subtils et émergents des systèmes d’IA profondément intégrés.