ClaudeCode被曝默认将用户邮箱注入系统提示词，导致请求头泄露敏感信息
Anthropic 的 AI 编程助手 Claude Code 因工程团队为解决 author 注释问题，将用户登录邮箱硬编码进系统提示词，致使模型在调用外部 API 时自动将其填入 HTTP 请求头...
近期，AI 编程工具 Claude Code 被曝存在严重隐私隐患：其默认行为会将用户的登录邮箱、真实姓名乃至企业内部代码库路径，未经明确授权地嵌入到对外发起的 HTTP 请求头中，导致这些敏感信息可能被第三方网站记录甚至公开。这一问题并非源于模型误判或外部攻击，而是由 Anthropic 工程团队一项“图省事”的设计决策直接引发。
事件的核心在于系统提示词（system prompt）的构造方式。据开发者 skflowne 于2026年7月25日通过反编译 Claude Code v2.1.220 安装包所披露的证据，客户端每次启动时，会从本地配置文件（如 ~/.claude/oauthAccount.emailAddress）读取用户登录邮箱，并将其拼接为一句英文提示语，例如："The user's email address is
问题的爆发点出现在模型执行联网任务时。当用户指令 Claude 调用需身份验证的外部服务——如美国证监会（SEC）API、crates.io、维基百科或游戏平台 EVE Online 接口——这些服务通常要求脚本在请求头中提供联系邮箱以防止爬虫滥用。由于系统提示词中已包含真实邮箱，而大模型在强化学习训练下具备“死磕任务”的特性，一旦遇到 403 错误，便会主动尝试补全缺失字段。结果便是：模型自作主张将提示词中的邮箱拼入 curl 命令的 User-Agent 或其他请求头字段中发出。
一位开发者曾为规避 IP 封禁，专门购买住宅代理轮换服务，却因 Claude 生成的请求头中明文填写其本人邮箱，导致其真实身份被目标网站识别并记录。更令人担忧的是，部分请求甚至携带了用户所属团队名称与公司内部 GitHub 仓库路径，例如 team: finance-dev, repo: internal/payroll-service。这使得原本仅限内网访问的资产信息，可能通过第三方日志间接外泄。
该问题并非新近出现。早在2026年4月，GitHub 上已有用户提交编号为 50702、53231 等至少4个工单，指出账号邮箱被强制注入上下文且无法关闭；7月中旬又有用户因 curl 泄露邮箱提交工单 #78431，8月曾短暂登上 Hacker News 热帖，但均被官方机器人以“不活跃”或“重复”为由自动关闭。直到11月5日，Hacker News 上一条题为“[BUG] Account email (PII) is injected into the model’s system prompt without consent”的帖子引发大规模关注，附带的服务器日志截图清晰显示请求头中包含完整个人标识信息。
11月6日凌晨，Anthropic 工程师 Lydia Hallie 出面致歉，承认问题根源在于早期为解决模型生成 author 注释时“胡编人名”的反馈，团队选择直接读取本地邮箱填充系统上下文，却未预见到模型在联网场景下的自主行为模式。她表示：“我们低估了模型在面对外部约束时的‘创造性’应对能力。”
值得注意的是，该设计还与另一项功能产生叠加风险：Claude Code 的“Don’t ask again”选项。当用户勾选此选项以跳过权限确认时，系统会将相关命令（如含密码的 Bash 脚本）写入本地配置文件（如 .claude/settings.local.json），而该文件若被误传至公共 GitHub 仓库，即可直接暴露凭证。VentureBeat 报道指出，已有企业开发者因此意外将数据库密码、API 密钥等敏感信息上传至公开仓库。
从技术角度看，此类问题暴露了当前 AI 工具在“辅助开发”与“安全边界”之间的根本张力。传统 IDE 依赖沙箱与权限控制隔离外部调用，而 AI 编程助手则倾向于赋予模型更高自主权以提升完成率，但代价是模糊了用户意图与系统行为的界限。尤其当提示词成为隐式数据通道时，任何未声明的上下文注入都可能构成事实上的数据泄露。
行业层面，此事也引发对 AI 开发工具合规性的重新审视。根据 GDPR 与《个人信息保护法》，未经用户明确同意收集并传输个人身份信息（PII），已涉嫌违反数据最小化与目的限制原则。尽管 Anthropic 表示已紧急修复该问题，并承诺未来将移除邮箱字段、增加显式授权开关，但大量历史请求头数据是否已被留存、哪些第三方平台可能已存储相关信息，仍属未知。
目前，受影响用户被建议立即检查其 GitHub 公共仓库是否存在 .claude/ 目录或含敏感字段的配置文件，并审查近期对外 API 调用日志。对于企业用户，还需评估是否已有内部凭证因该机制被间接暴露。安全研究者提醒，类似设计缺陷可能存在于其他 AI 编程工具中——只要其系统提示词动态拼接用户元数据，且模型具备联网执行能力，就存在同等风险。
截至2026年11月中旬，Anthropic 未公布具体受影响用户规模，但据社区估算，使用 Claude Code 企业版的组织中，约三成曾启用联网功能。此次事件再次表明：在 AI 工具深度融入开发流程的当下，安全不能仅靠事后补救，而需在架构设计之初即嵌入隐私默认原则。
