要点
- Anthropic の AI コーディングツール「Claude Code」が、利用者のアカウントのメールアドレスを、作業中にアクセスした外部サイトへ送っていたと、GitHub で複数の利用者が報告した。
- 原因は、Claude Code が AI にメールアドレスを毎回渡していたことにある。Anthropic の Claude Code チームもこれを認めて謝り、メールアドレスを渡すのをやめると説明している。
- 同じような報告は2026年7月から出ていたが、自動で閉じられたり、答えがないまま放置されたりしていた。
何が起きたか
2026年11月5日、Claude Code の GitHub に「User-Agent ヘッダーでのプライバシー侵害」という報告（issue #107757）が出た。User-Agent は、Web サイトにアクセスするとき「どのソフトから来たか」を伝える名札のような情報だ。報告者は、Claude Code がネットで調べ物をするときに、この名札に自分のメールアドレスを入れて送っていたという。報告者自身は、そのせいで毎日何十通も詐欺のメールが来ていると訴えている。
日本時間の11月6日には、Claude Code チームの lydia_hallie 氏が Hacker News で仕組みを説明した。起きていたのは、AI が自分で書いた通信のコマンドで、相手のサイトが連絡先を求めているときに、手元にあったメールアドレスを名札に入れてしまう、ということだった。そもそもメールアドレスが AI の手元にあったのは、サインイン中の利用者について AI が何も知らないと、コードの作者欄などに架空の名前を書いてしまうという声を受けて、アカウントのメールアドレスを AI に渡すようにしたからだという。
送り先として名前が挙がったサイトは、さまざまだ。issue #78431 では、Rust のライブラリを登録する crates.io に送られた記録が出ている。Hacker News では、米国の証券取引委員会（SEC）のデータの API や Wikipedia の名前が出た。たとえば crates.io は、プログラムからアクセスする人に、名札へ連絡先を入れるよう勧めている。名札は相手側に届くので、相手の記録に残ることがある。
報告は今回が初めてではない。2026年7月17日の issue #78431 が、すでに同じことを報告していた。8月には別の利用者が、1時間の作業でメールアドレスが5回出てきたと書き、crates.io へ送られた1回分の記録を示した。しかしこの issue は、動きがないとして9月11日にボットが自動で閉じた。7月25日の issue #81138 は、メールアドレスが利用者に知らされず、止める方法もないまま AI に渡されていると訴えた。こちらは11月6日の時点でも開いたままで、Anthropic の答えは書き込まれていない。
日本の利用者への影響
Claude Code は日本の開発者にも広く使われている。日本の利用者に当たったかどうかは、今回の報告からは分からない。報告からは、当たるのは Anthropic のアカウントでサインインして使う人だとみられる。利用者の検証の書き込みでは、API キーや Amazon Bedrock、Google Vertex AI を通して使う場合は、メールアドレスが AI に渡されないとされる。
会社のメールアドレスでサインインしている人は、名前や会社が外部のサイトの記録に残るおそれがある。Hacker News では、AI が作った名札に自分の名前と、会社の部署の名前まで書かれていたという利用者もいた。
今すぐやること
- Claude Code を 2.1.317 以降に更新する。lydia_hallie 氏は、安定版（2.1.311）を使う人にも更新を勧めている。この版には、メールアドレスを含む通信の前に確認を求める仕組みが入っている。
- その仕組みを切らない。設定の画面で切れるが、根本の修正が出るまでは入れたままにする。
- 確認を求められたら、中身を読んでから許す。メールアドレスが入っていたら断る。ただしこの仕組みですべては防げない。たとえば Claude が自分でスクリプトを書いて動かす場合は防げないと、Claude Code チーム自身が認めている。
- 作業の記録に自分のメールアドレスが出てこないか確かめる。出てきたら、送り先のサイトを書き留めておく。
- 根本の修正（メールアドレスを AI に渡さない版）が出たら、すぐに更新する。lydia_hallie 氏は11月5日（米国時間）に、「来週の初め」に出す予定と書いている。
背景
AI に仕事を任せる道具は、作業を手伝うために、利用者についての情報を AI に渡すことがある。AI はその情報を、渡した側が考えていない使い方をすることがある。今回は、サイトの「連絡先を書いて」という求めに素直に従った結果、個人の情報が外に出た。
issue #81138 によると、8月の版では AI への指示に「関係のないサービスに送らないこと」という一文が足された。それでも送信は止まらなかった。AI への言い聞かせだけでは防げないことを示す例といえる。今回の issue でも、投稿者をはじめ何人かが、確認の仕組みは応急の手当てにすぎず、初めからメールアドレスを AI に渡さなければよいと書いている。
技術者向けの詳細
- 当たる条件: OAuth（Claude のサブスクリプション）でサインインしていること。issue #81138 によると、値の出どころは
~/.claude.jsonのoauthAccount.emailAddress。v2.1.289 ではリクエストごとの<system-reminder>にuserEmailとして入るとの報告がある。サブエージェントにも渡るとの報告もある - 報告された版: 2.1.212（#78431）、2.1.220（#81138）、2.1.263、2.1.289、2.1.318（#107757）
- 暫定の対策: 2.1.317 以降に組み込まれた
cc-plugin-privacy。既定で有効で、/pluginsで無効にできる。ただし #107757 では、2.1.318 で有効なのにメールアドレス入りのコマンドが止められなかった、という報告や、プラグインが見当たらないという報告が出ている IS_DEMO=1は表示を隠すだけで、AI に渡すのは止めない（#81138）CLAUDE_CODE_USER_EMAILで値を差し替えられるが、項目そのものは消せないとの報告がある（#81138）- 利用者による回避策として、メールアドレスを含むツールの呼び出しを拒む PreToolUse フックが挙がっている。ただし、それでも完全には防げないという声もある（#81138）
- 自分の環境の確かめ方（OAuth でサインインしているか、記録にメールアドレスが出てくるか）:
claude --version
grep -o '"emailAddress"[^,]*' ~/.claude.json
grep -rl 'あなたのメールアドレス' ~/.claude/projects/ | head
（3行目の あなたのメールアドレス は自分のアドレスに置き換える。出てきたファイルの中で、curl や Web ツールの呼び出しに入っていないかを見る）
