當我們把瀏覽器換成 AI 代理，對外請求就不再只是載入網頁那麼單純。Hacker News 上一則討論 Claude Code sends your email address to websites 指出 Claude Code 在網路搜尋時，會把使用者的電子郵件放進 HTTP 請求的 User-Agent 標頭，送到任意第三方網站。這則討論在 Hacker News 獲得 343 分與 103 則留言，對應的 GitHub issue 也有 114 個表情回應，至今仍維持開啟狀態。這不只是單一 bug，而是代理式工具正在成為新的資料外洩面，預設值與可觀測性決定風險大小，值得所有導入 AI 代理的團隊關注。
當事人觀察，每天數十封詐騙信
GitHub issue anthropics/claude-code#107757 由 taylor-edwards 於 2026 年 11 月 5 日開立，標題為「Bug Report: Privacy violation in User-Agent header」，環境為 macOS 搭配 tmux、Claude Code 版本 2.1.318。他描述 Claude Code 進行網路搜尋時，未經允許就把使用者電子郵件放進對外請求的 User-Agent，導致他每天收到數十封詐騙信。
他認為這不該是 opt-in 或 opt-out 的設定，而應該從工具層完全移除，理由有三，對討厭代理流量的服務沒有幫助、沒有保住網路匿名性、對詐騙者是金礦。他甚至已經把公司遷移到 Pi（pi.dev）搭配 OpenRouter。
Anthropic 解釋，模型依維基百科政策送出信箱
Anthropic 員工 poteat 與 mpoteat 在 GitHub 與 HN 回覆，這件事不是有人把分享電子郵件當功能實作。他們還原的情境是，維基百科規定所有腳本用戶端必須在 User-Agent 提供聯絡電子郵件以自我識別，使用者請 Claude 查資料，Claude 於是在 curl 呼叫中把使用者信箱送給維基百科。
官方表示模型行為高度不可預測，所以需要確定性的檢查來約束模型行為。他們已在 2.1.317 版加入內建模組 cc-plugin-privacy，預設啟用，用來確定性地阻擋這個行為，使用者可用 /plugins 關閉，模組原始碼已公開在 github.com/anthropics/claude-code/tree/main/mods/privacy，並請使用者若發現檢查有漏洞盡快回報。
社群經驗分歧，有人重現有人看不到
HN 留言中，mk89 說改用 Claude 後公司信箱幾乎每天收到大量垃圾信，而且帶有他的名字與姓氏，不像一般 dear customer。fzysingularity 說過去兩個月冷開發信明顯變多，原本以為是 LLM 讓文案變好，現在才知道跟 Claude Code 有關。llama052 貼出子代理產生的 User-Agent 範例，例如 company-helm-research/1.0 (Claude Code agent run by 名字, 公司 platform team，docs lookup)，他認為連專案 repo 都被帶出去了。bassie123 則說他用私人 Claude 帳號，curl 卻帶了公司信箱。
但也有人無法重現。eightysixfour 看到的標頭是 Claude-User (claude-code/2.1.318 (cli)，+https://support.anthropic.com/)，沒有電子郵件。hk1337 說他用遮罩信箱與 Claude 往來，只收到 Claude 寄來的信，沒有其他垃圾信。xlayn 用 MITM 觀察，認為 Claude Code 的 web fetch 工具本身沒送出東西，懷疑可能是伺服器端行為。這些案例顯示版本、平臺與工具路徑都可能造成差異，不宜斷言所有版本都會外洩。
為何 User-Agent 帶信箱特別麻煩
User-Agent 是 HTTP 請求標頭，瀏覽器會帶作業系統與瀏覽器版本，自動化腳本常依 RFC 或站方政策附上聯絡方式，讓站方能辨識與聯絡爬蟲。把電子郵件放進 User-Agent 的問題在於，它會隨著每一個對外請求送到每一個網站、API、CDN 與紀錄系統，包括沒有預期會收到它的服務。
電子郵件同時是可跨站關聯的穩定識別碼，適合寄廣告與詐騙信，也可用來比對同一使用者在不同網站的活動。更根本的擔心是，AI 代理會為了完成任務自行組裝標頭，可能把上下文中的姓名、公司、專案名稱一起帶出去，使用者看不到，因為請求不是瀏覽器發的。AlexErrant 也指出，原始 issue #81138 早在 7 月就開了，5 個月後才出現外掛。
CyberQ 觀點
這起事件的重點並非單一 bug，而在代理工具的預設值與可觀測性。官方用確定性外掛在送出前攔截，是值得肯定的方向，但社群經驗與官方說法仍有落差。企業應把代理對外請求納入日誌與 DLP 範圍，個人則應更新到 2.1.317 以上、確認隱私模組開啟、改用遮罩信箱，並用請求回顯服務檢查標頭，定期檢視網站存取紀錄。
