سرّب Claude Code بريدك الإلكتروني.

ربما أخبر وكيلك البرمجي غرباء بهويتك. يوم 5 نوفمبر، أفاد أحد مستخدمي Claude Code بأن الوكيل وضع بريد حسابه الإلكتروني في ترويسة User-Agent لطلبات ويب أرسلها إلى مواقع خارجية، وبأنه يتلقى الآن عشرات رسائل الاحتيال كل يوم.¹ لم يطلب أحد من الوكيل ذلك. فعله من تلقاء نفسه، على سبيل التفصيل المفيد.

ماذا حدث

البلاغ مسجّل في issue رقم #107757 على مستودع Claude Code، وقد فُتح على الإصدار 2.1.318 ويحمل الوسم area:security. ويقول صاحبه إن البريد خرج بينما كان Claude Code يجري عمليات بحث على الويب دون إذنه. ورسائل الاحتيال روايته الشخصية، لا نتيجة قياس. لكن تعليقاً آخر يصعب تجاهله.

طلب أحد المعلّقين من وكيله فحص سجلات جلساته هو، أي كل استدعاء أداة تحت ~/.claude/projects/. فأفاد الوكيل بوجود 53 استدعاءً وضعت بريده في User-Agent، موزّعة على 8 جلسات بين 9 أغسطس و 1 نوفمبر. وجاءت كلها تقريباً من وكلاء فرعيين (subagents) يكتبون بأنفسهم أوامر curl -A "<tool>/1.0 (<email>)"، لا من أداة جلب صفحات الويب المدمجة.¹ إذن لم يكن هذا، عند ذلك المستخدم، خللاً نادراً وقع مرة واحدة. كان عادة استمرت أشهراً.

لماذا يفعل الوكيل ذلك

لهذه العادة سبب. فبعض المواقع تطلب من البرامج الآلية أن تعرّف بنفسها. وتطلب سياسة Wikimedia من الروبوتات البرمجية ترويسة User-Agent وصفية فيها وسيلة تواصل، «عنوان بريد إلكتروني، أو موقع ويب، أو اسم مستخدم في ويكي»، وقد تحصل ترويسة عامة مثل curl على الخطأ 403.² كما تطلب هيئة الأوراق المالية والبورصات الأمريكية (SEC) من الأدوات التي تنزّل بيانات EDGAR أن تصرّح بترويسة User-Agent، والمثال الذي تقدّمه هو اسم شركة مع بريد للتواصل مع المسؤول.³ والنموذج الذي قرأ هذه القواعد، ويعرف عنوان الشخص المسجَّل دخوله، يملأ الفراغ.⁴

لكن كيف عرف عنوانك أصلاً؟ شرحت Lydia Hallie، التي تعمل على Claude Code، على Hacker News أن Claude كان يخترع أسماء لأشياء مثل وسوم @author، فأُضيف بريد الحساب إلى سياق النموذج. وحين كان موقع يطلب وسيلة تواصل، كان Claude يقدّم هذا البريد أحياناً.⁵ ويقول التعليق نفسه إن العنوان سيخرج من سياق النموذج في الإصدار القادم، المتوقع مطلع الأسبوع المقبل.

هذا هو الجزء الذي أراه يستحق التوقف عنده. لم يُخترق الوكيل، ولم يفعل شيئاً لا يفعله كاتب سكربت حريص. كل ما في الأمر أنه استعمل وسيلة التواصل الخطأ، أي بريدك أنت، وأرسلها إلى الموقع الذي كان يتحدث معه، أيّاً كان.

ما يغطيه الإصلاح، وما لا يغطيه

ردّ أحد المساهمين في Claude Code داخل الـ issue نفسه: إضافة مدمجة (mod) اسمها cc-plugin-privacy تمنع هذا في الإصدار 2.1.317 وما بعده، وهي مفعّلة افتراضياً، ويمكن إيقافها من /plugins.¹ ويصف سجل التغييرات (changelog) للإصدار 2.1.317 «فحصاً يسأل قبل أن يرسل استدعاءُ أداة ويب أو أداة طرفية عنوانَ بريد حسابك إلى الشبكة».⁶

اقرأ ملف README الخاص بالإضافة قبل أن تطمئن. فهي ترفض استدعاءات Bash أو PowerShell أو Monitor التي تحتوي على عنوان الحساب وتذكر في الوقت نفسه ترويسة User-Agent (User-Agent، curl -A، wget -U). وتصف نفسها بأنها «مجاملة، لا حاجز»، ولا تفحص أدوات الويب إطلاقاً، رغم أن سجل التغييرات يقول إنها تسأل قبل أي استدعاء للويب. وفي الواقع، ترفض استدعاءات الطرفية دون أن تسأل. أما عناوين URL، ومحتوى الطلبات، وترويسات From:، وأداتا جلب صفحات الويب والبحث فيه، وأدوات MCP، والقيم التي يحسبها سكربت أثناء التشغيل، فتمرّ كلها.⁷ إذن تلتقط الإضافة النمط نفسه الذي ظهر في السجلات. أما سكربت يقرأ بريدك من ملف إعدادات ثم يرسله، فلا.

وعلى بعض الأجهزة يمرّ حتى هذا النمط نفسه. فقد اختبر معلّقان الإضافة على الإصدارين 2.1.317 و 2.1.318، أحدهما على macOS والآخر على Windows. كانت الإضافة محمَّلة، ومع ذلك نُفِّذ أمر echo أو curl -A يحمل عنوان كل منهما دون أي رفض.¹

ملف README صريح بشأن حدود الإضافة، وهذه هي الطريقة الصحيحة لقراءة كل وسيلة حماية في الوكلاء.

الدرس للفرق

نقضي وقت المراجعة على الكود الذي يكتبه الوكيل في المستودع. ولا نقضي تقريباً أي وقت على ما يرسله إلى خارج الجهاز أثناء عمله. يبدو أمر curl في نافذة طلب الإذن بريئاً لأنه يقرأ صفحة فقط. لكن البيانات تخرج في الترويسة (header).

بريد حسابك هو الحالة الصغيرة. فالوكيل نفسه يرى إعدادات Git لديك، وبيئتك، وملفاتك. وما يغادر الحاسوب المحمول سؤال يخص الفريق، لا كل مطوّر وحده.

ماذا تفعل مع بداية الأسبوع

• افحص الإصدار. شغّل claude --version على كل جهاز وحدّث إلى 2.1.317 أو ما بعده. كانت القناة المستقرة لا تزال على 2.1.311 حين علّقت Lydia Hallie، أي أن الفريق الذي يعتمد القناة المستقرة لا يملك الإضافة أصلاً.⁵ ثم افتح /plugins وتأكد من أن إضافة الخصوصية مفعّلة. وبعد الإصدار القادم، افحص مرة أخرى: فالإصلاح المعلَن هو خروج العنوان من سياق النموذج.
• راجع سجلك أنت. افعل ما فعله المعلّق. وكفحص أولي تقريبي، يعدّ هذا الأمر المواضع في سجلات جلساتك المحلية التي يظهر فيها عنوانك بجانب خيار User-Agent (ضع عنوانك مكان المثال):

grep -rhoiE '(-A |-U |user.?agent).{0,120}you(@|%40)company\.com' ~/.claude/projects --include='*.jsonl' | sort | uniq -c

• أعطِ الوكيل وسيلة تواصل يستعملها. حين يطلب موقع وسيلة تواصل، ينبغي أن يرسل الوكيل عنواناً مشتركاً للفريق أو صفحة تواصل، لا بريد تسجيل الدخول. ويكفي لذلك سطر واحد في CLAUDE.md أو AGENTS.md.
• اقرأ أوامر الشبكة قبل أن توافق عليها. انظر إلى الترويسات وإلى عنوان URL، لا إلى النطاق وحده. وتجنّب قواعد «السماح الدائم» الشاملة لـ curl و wget.
• حين يتّسع وقت فريقك لذلك، مرّر حركة الوكيل عبر قائمة سماح للاتصالات الخارجة (egress allowlist)، كي يصل الوكيل إلى سجل الحزم الذي تستعمله وإلى وثائقك، ولا شيء غير ذلك افتراضياً.

المصادر

1. GitHub, anthropics/claude-code, Bug Report: Privacy violation in User-Agent header #107757, 2026
2. Wikimedia Foundation, Wikimedia Foundation User-Agent Policy
3. U.S. SEC, Accessing EDGAR Data
4. Tin, Is Claude Code leaking your email in User-Agent headers?, نوفمبر 2026
5. Hacker News, تعليق Lydia Hallie، التي تعمل على Claude Code, نوفمبر 2026
6. Anthropic, Claude Code CHANGELOG, 2026
7. Anthropic, mods/privacy README, 2026