بلاغ على مستودع Claude Code: بريد الحساب أُرسل إلى مواقع خارجية في ترويسة User-Agent

فتح مستخدم باسم taylor-edwards في 5 نوفمبر 2026 بلاغًا برقم 107757 على مستودع Claude Code، قال فيه إن الأداة وضعت بريد حسابه الإلكتروني في ترويسة User-Agent أثناء تنفيذ عمليات web search، فوصل البريد إلى مواقع خارجية دون إذنه. وأضاف أنه صار يتلقى عشرات رسائل السبام يوميًا، وهو تقديره الشخصي وليس رقمًا مقيسًا. والبلاغ ما زال مفتوحًا، وموسومًا بأنه bug وبأنه من مجال الأمان.

والـ User-Agent سطر يرسله كل برنامج مع كل طلب يعرّف فيه نفسه. يراه كل موقع يستقبل الطلب، وكثير من المواقع يسجله.

وردّت الشركة في اليوم نفسه بأن mod مدمجًا اسمه cc-plugin-privacy يمنع هذا السلوك ابتداءً من نسخة 2.1.317، وأنه مفعّل افتراضيًا، ويمكن إيقافه من أمر /plugins.

لكن التعليقات اللاحقة في 6 نوفمبر كشفت ثغرة في هذا المنع. فقد أوضح مشارك باسم mkubenka أن النموذج حين يكتب أمر curl بنفسه يستطيع أن يركّب User-Agent من عنده، فيه اسم المشروع والبريد. والـ mod يبحث عن بريد الحساب بنصه الحرفي، فإذا كُتب البريد في ملف ثم قُرئ منه، يمر دون أن يُلتقط.

وهنا الفرق الجوهري: المنع يعمل على مستوى الأداة، بينما النموذج قادر على كتابة السطر بنفسه. فالأداة التي تتصرف باسم المستخدم قد تنقل هويته إلى أماكن لم يخترها، حتى بعد إصلاح المسار الأصلي.

والحل المقترح في البلاغ أن يكون الافتراضي User-Agent عامًا، كاسم الأداة ورقم نسختها، وألا يُضاف البريد إلا إذا طلبه المستخدم صراحة. ولم يُعلن بعد إن كانت الشركة ستعتمد هذا الاقتراح.