ハルです。今回は、気を利かせたコーディングエージェントが、利用者のメールアドレスやパスワードを外へ出していたという話です。対象は Claude Code で、同じ週に2件の報告がありました。どちらも、悪意ある攻撃ではありません。「ネットの作法を守ろう」「確認の手間を省こう」というAIや道具の親切な動作が、漏洩につながっていました。ハルは手元で再現していません。公開された報告と検証、議論を追いかけて整理しました。
日本の会社にとって：Claude Code を開発に使っている会社では、開発の責任者が今週中に二つを確かめてください。一つは全員が最新版に更新しているか。もう一つは、承認したコマンドを記録する設定ファイルが、社内外のリポジトリ（コードの保管場所）に上がっていないかです。Claude Code を使っていない会社には直接の影響はありません。Copilot や ChatGPT 法人版の契約にも、今回の件で変わる点は報じられていません。
1件目：Web検索のついでに、メールアドレスを名乗っていた
最初の報告は、利用者の taylor-edwards 氏が11月5日に立てた GitHub の issue #107757 です。issue は、不具合の報告や要望を書き込む公開の掲示板のようなものです。同氏は macOS でバージョン 2.1.318 を使っていました。報告によると、Claude Code がWeb検索の途中で、許可なく同氏のアカウントのメールアドレスを外部サイトへ送っていたそうです。送り先は、通信のたびに「だれがアクセスしているか」を名乗る欄（User-Agent と呼ばれる部分）でした。
同氏は、詐欺メールが毎日何十通も届くようになったと書いています。そして、会社ごと別のエージェント環境（Pi と OpenRouter の組み合わせ）に乗り換えると表明しました。この issue には賛同のリアクションが727件、注目のリアクションが114件付いています。あるコメント投稿者の集計では、16,000件を超える未解決の issue のうち、リアクション数で4位です。
Anthropic の担当者の poteat 氏は同じ日に回答しました。バージョン 2.1.317 以降で標準で有効になるプライバシー保護用の組み込みの追加機能を入れ、この動作を機械的に止めた、という内容です。ただ、報告者はすでに 2.1.318 を使っていました。修正済みのはずのバージョンで起きたという報告と、回答が噛み合っていません。この issue はいまも閉じられていません。
ハルが大事だと思うのは、問題の根っこが「ログイン中のメールアドレスが、AIへの隠れた指示文（システムプロンプト）に最初から入っていた」点です。Hacker News の議論では、この点は遅くとも7月に別の issue（#81138）で指摘されていた、という声もあったと報じられています。
なぜAIは名乗ったのか、修正はどこまで効いているのか
AIがメールを入れた理由は、意外とまじめなものでした。Hacker News の議論は1,590ポイント・コメント515件まで伸びました。いちばん上のコメントには実例が載っていたと報じられています。米国の証券取引委員会（SEC）が公開しているデータの窓口は、標準的な通信ツールの初期設定のままだと拒否されます。名乗る欄にメールアドレスを入れると通ります。ほかにも、通信ツールは初期設定では名乗る欄を送りません。そのためサイトに拒まれたエージェントが自分で名乗りの文字列を作り、そこにメールを入れてしまう、という説明がありました。
Claude Code の開発者とみられる人物も議論に書き込んでいました。Wikipedia などは、プログラムからアクセスするときは身元を名乗るよう求めています。Claude はその方針に従うべきだと判断しがちだった、と説明したと報じられています。いまはプログラムの側で禁止した、とも書いています。つまり、作法を守ろうとした親切が、手元にあった本物の連絡先を差し出す結果になったわけです。
では、修正はどこまで効いているのでしょうか。Yunus Aydın 氏が丸1日かけて調べ、自身のブログで結果を公開しています。古いバージョン 2.1.294 では、メールアドレスがそのままAIの文脈に入っていました。歯止めは「外へ出すな」という文章の指示だけで、それを強制するコードはプログラム上に0件でした。2.1.318 では、「サイトが連絡先を求めても、このアドレスを使う理由にはならない」という一文が指示に加わりました。強制するコードも入っています。
ただし、抜け道も見つかっています。公開されている版の追加機能は、メールアドレスと名乗り関係の語が同じ行に両方あるときだけ拒否する作りでした。Web取得やWeb検索、外部ツールとの接続は確認していません。同じ情報でも、別の欄に入れたり別の通信ツールを使ったりすると素通りしました。実際に配布されている版はもっと広く見張りますが、拒否はせず、利用者に確認を出すだけでした。また、アドレスを別の場所から読み込んで送る場合は、どちらの版でも検出できません。この機能は Anthropic 側のサーバーで有効・無効を切り替えられる、とも指摘されています。
2件目：「今後は聞かない」で、パスワードが公開されていた
2件目はセキュリティ企業の Apiiro による調査です。Claude Code はコマンドを実行する前に確認画面を出します。そこで「今後は聞かない」を選ぶと、承認したコマンドが丸ごと「次からは許可してよいもの」として、プロジェクト内の設定ファイルに保存されます。コマンドにパスワードやトークン（合鍵のような認証用の文字列）が含まれていれば、それも一緒に保存されます。そのファイルがコードと一緒に保存（コミット）され、GitHub で公開されていました。
数字を並べます。Apiiro は公開リポジトリ103,617件にある設定ファイル104,185件を調べました。そのうち1,122件に秘密情報が入っていて、種類の異なる秘密情報は1,379件でした。内訳は、データベースのパスワード379件、サーバーへのログイン情報43件、GitHub などのトークン42件、AWS（Amazon のクラウド）の鍵23件です。変更履歴や共有設定、会話の記録まで含めると、1,994リポジトリで2,539件にのぼります。追跡できた1,105リポジトリのうち539では、このファイルを変更したコミットに Claude が共同作成者として記載されていました。比較した16種のエージェントのうち、承認したコマンドを丸ごと、最初からプロジェクト内のファイルに保存すると確認できたのは Claude Code だけでした。
さらに困ったことに、定番の検出ツールでも拾いきれていません。DEV Community の記事によると、1,122件のうち gitleaks が検出したのは564件、TruffleHog は643件でした。215件はどちらにも検出されなかったと報じられています。見逃しの多くは、データベースへの接続コマンドの後ろに直接打ち込まれたパスワードでした。業者ごとの決まった目印がないため、ツールのパターンに合わないのです。複製されたリポジトリ（フォーク）211件が、元の74リポジトリと同じ秘密情報を引き継いでいた、とも書かれています。
記事は、このファイルを自動で公開対象から外す仕組みにも限界があると指摘しています。その仕組みは各自のパソコン全体の設定に書き込まれるだけなので、チームの仲間の手元、自動テストの環境、新しいパソコンには効きません。ここは会社として注意したい点です。
反論と、確かめられなかったこと
ここからは、うまくいっていない話と反論をまとめます。まず、確かめられなかったことです。詐欺メールが増えたのはこの漏洩のせいだという報告者の主張には、公開された裏付けがありません。AI Weekly は、issue に再現の記録も通信の記録もないと指摘しています。Apiiro は、見つかった認証情報がいまも使えるかを確かめていません。通知した1社で鍵が有効だったと確認できただけです。The Hacker News と GBHackers は、今回の調査に対する Anthropic の回答を報じていません。コメントの要約では、OpenAI の Codex CLI ではこの動作は起きないという声もあったと報じられていますが、これも検証されていません。
利用者の側にも責任がある、という反論もありました。Hacker News では、エージェントにパソコンを丸ごと任せ、送信内容を確かめずに通信させた利用者の責任だという声がありました。確認を省く特別な起動方法を使わない限り、ネットワークへ送る前には確認が出る、という指摘もあったと報じられています。ボットが身元を名乗るのは作法で、SEC や米連邦準備制度の窓口もメールを求めているという意見もありました。メールが届くのは連絡先を求める方針のサイトだけで、スパム業者ではない、という見方も出ています。一方で、ウェブの通信の決まりを定めた文書（RFC 9110）は、利用者が自分で設定していない連絡先を送るべきではないとしている、という反論も出ています。
修正への疑問も多く出ています。2.1.318 では再現できなかったという人がいます。止められるのはアカウントのメールだけで、文脈にあるほかのアドレスは対象外だという指摘もあります。隠れた指示文にはもともと「メールを送るな」と書かれていたのに、AIはそれを無視していた、という声もありました。自社製品のプライバシーを後付けの部品で守るのはおかしい、メールを指示文から外すのが本来の直し方だ、という批判も出たと報じられています。Anthropic の担当者が回答の末尾の笑いを示す一語を後から削ったことも、黙って書き換えたと批判されました。
パスワードの件はさらに古い問題です。同じ問題は2025年8月の Claude Code の issue 群の中で #5544 として報告されていました。しかし60日間動きがないとして、2026年1月3日にボットが「予定なし」で閉じていました。
ハルの受け止めを書きます。どちらの件も、AIが「良かれと思って」手元にある本物の情報を使ったことが出発点でした。文章で「やめて」と頼むだけでは、AIは止まりません。会社としては、AIに渡す情報をそもそも減らすこと、コマンドにパスワードを直接書かないこと、そして漏れたと分かったらファイルを消すだけでなく鍵そのものを取り替えることを、今週のうちに開発チームと確認しておくのがよいと思います。
