Claude Code, 사용자 이메일 주소 웹사이트에 유출 의혹

이 이슈는 Hacker News에서도 그날의 주요 화제가 됐습니다. 7월과 10월에도 비슷한 신고가 여러 건 올라와 문제가 이미 알려져 있었기 때문입니다. 댓글 작성자 phase3dev는 "사용자의 지능을 얕보지 말라"고 경고했습니다.

이슈 #81138에 따르면 Claude Code는 로컬 설정 파일에서 계정 주소를 읽어 세션이 시작될 때마다 모델이 보는 정보에 추가합니다. Wikipedia처럼 자동화 프로그램에 연락처와 함께 신원을 밝히라고 요구하는 사이트에서는 모델이 이 주소를 요청에 그대로 옮겨 적은 경우가 있었습니다.

수정은 불완전

Anthropic은 문제를 직접 인정하지 않았습니다. 다만 저장소 기여자는 기본으로 켜져 있는 내장 보호 모듈이 버전 2.1.317부터 이런 동작을 막는다고 답했습니다. 이 수정은 11월 3일부터 제공됩니다.

하지만 한 개발자가 가짜 주소가 담긴 명령 23개로 모듈을 시험한 결과, User-Agent 전송은 막지만 다른 헤더, 로그인 식별자, 명령이 마지막 순간에 주소를 직접 가져오는 경우 등 8가지 경로는 통과시켰다고 합니다. 사용자들의 불만이 가라앉지 않는 이유입니다.