클로드 코드, 계정 이메일을 웹 요청 'User-Agent'에 실어 보냈다…앤트로픽 5일 보호 모듈 배포했지만 "완전한 해결 아니다"

앤트로픽의 코딩 에이전트 '클로드 코드(Claude Code)'가 로그인한 계정의 이메일 주소를 외부 웹사이트로 가는 요청의 User-Agent 헤더에 실어 보냈다는 이슈가 개발자 커뮤니티에서 확산됐다.

DEV 커뮤니티 글에 따르면 5일 밤 10시 13분 깃허브에 이슈 107757이 올라왔다. 클로드 코드의 웹 도구가 임의의 제3자 사이트에 보내는 요청 헤더에 계정 이메일이 들어간다는 내용이다. 이슈를 올린 이용자는 하루 수십 통의 스팸·사기 메일을 받았다고 주장했다. 같은 계정 이메일이 매 세션의 시스템 프롬프트에도 들어간다는 이슈 81138은 7월 25일 올라왔지만 고쳐지지 않았다고 이 글은 전했다.

앤트로픽 직원은 같은 날 버전 2.1.317 이후에 들어간 내장 모듈 'cc-plugin-privacy'가 이 동작을 "결정적으로 막는다"고 답했다. 기본으로 켜져 있고 `/plugins`에서 끌 수 있다. 다만 URL·요청 본문·`curl -u`·`From:` 헤더에 주소가 있으면 걸러내지 못하고, 클로드가 스크립트를 직접 짜서 실행하는 경우도 막지 못한다고 한 클로드 코드 팀원이 임시방편이라고 설명했다. 2.1.318에서도 새는 것을 봤다는 보고와 `/plugins`에 모듈이 안 보인다는 보고가 함께 나왔다.

앤트로픽은 "클로드 코드가 모델에 주는 맥락에서 계정 이메일 주소를 빼는 중"이라며 다음 주 초 배포를 예고했다. 6일 기준 안정 채널은 가드가 없는 2.1.311이었다. 레딧 r/ClaudeCode에서는 이 문제와 확인할 점을 정리한 글이 일간 인기글에 올랐다. 확인 방법은 `claude --version`으로 2.1.317 이상인지, `/plugins`에 cc-plugin-privacy가 켜져 있는지 보는 것이다.