Kodlama ajanlarında “küçük bir yardımcı veri” bazen beklenmedik bir gizlilik deliğine dönüşüyor. Anthropic Claude Code ürününde ortaya çıkan örnek tam da bu. GitHub sorun kayıtları, güvenlik/yazılım basın duyuruları ve Claude Code ekibinin Hacker News yanıtlarına göre araç, oturum açmış kullanıcının hesap e-postasını model bağlamına ekliyordu. Amaç, yazar etiketi gibi alanlarda modelin uydurma (halüsinasyon) yapmasını azaltmaktı. Ancak model, bazı web sitelerinin istediği iletişim adresini User-Agent alanına bu gerçek e-postayla yazabiliyordu.
Sonuç: Kullanıcının bilerek paylaşmadığı hesap adresi, ajanın yaptığı HTTP isteklerinde üçüncü taraf sunuculara gidebiliyordu. Tin Analytics benzeri gözlemler ve Wikimedia, SEC gibi iletişim alanı isteyen siteler üzerinden giden trafikte bu davranışın izlenebildiği aktarılıyor. Yani sızıntı “log dosyasına yanlışlıkla yazıldı” tipinden çok, modelin bağlamdaki e-postayı harici bir isteğe taşımasıyla oluşuyor.
Neden model bağlamına e-posta konmuştu?
Claude Code ekibinin açıklamasına göre e-posta, commit veya yama benzeri çıktılarda yazar bilgisinin uydurulmasını engellemek için bağlama eklenmiş. Bu, ajan ürünlerinde sık görülen bir gerilim: Modelin tutarlı kimlik bilgisi üretmesi isteniyor; bunun için gerçek hesap verisi veriliyor. Güvenlik ve gizlilik açısından ise her bağlama giren gerçek kimlik, aracın yapabileceği her dış çağrıda sızdırılabilir hale geliyor.
User-Agent seçimi özellikle sinsi. Birçok site ve tarayıcı otomasyonu, nezaket veya politika gereği iletişim e-postası içeren özel bir User-Agent bekler. Model “doğru davranayım” derken kullanıcının gerçek adresini bu alana yapıştırabiliyor. Geliştirici bunu UI’da onaylamadan, hatta fark etmeden ağ çıkışı gerçekleşebiliyor.
Hangi sürümlerde ne değişti?
2.1.317 ve sonrası sürümlerde cc-plugin-privacy / kontrol katmanı geldi. Web veya shell çağrısı, e-postayı ağa göndermeden önce kullanıcıya soruyor; kontrol varsayılan olarak açık. Bu, acil bir fren. Ancak README’nin de belirttiği gibi bazı yollar kapsam dışı kalabiliyor: script’ler, WebFetch, WebSearch, MCP ve çalışma anında hesaplanan değerler. Yani “317+ yükledim, bitti” demek henüz erken.
Kanal farkı da önemli. Stable kanal hâlâ 2.1.311 civarında olabiliyor; latest ise yaklaşık 2.1.318. Kurumsal kilitli stable kullanan ekipler, privacy kontrolünü görmeden eski davranışı sürdürebilir. Claude Code ekibi ayrıca e-postayı model bağlamından tamamen kaldıracak bir güncellemeyi “önümüzdeki hafta başı” diye söz verdi (Kasım başı itibarıyla). Asıl kalıcı çözüm bu kaldırma; uyarı diyaloğu geçici bir katman.
Pratik risk kimleri ilgilendiriyor?
- Claude Code ile web isteği, scrapeing veya otomatik form/API çağrısı yapan geliştiriciler,
- Kurumsal e-posta ile oturum açmış ve ajanın dış ağa çıkmasına izin veren ekipler,
- Stable kanalda kalan, 2.1.317+ privacy kontrolünü henüz almayan kurulumlar,
- MCP, WebFetch veya script yollarıyla e-postanın uyarıdan kaçabileceği iş akışları.
Risk “hesabım ele geçirildi” seviyesinde değil; yine de kurumsal kimliğin üçüncü taraf loglarına düşmesi KVKK / gizlilik politikaları, avukatlık yazışmaları ve iç ağ keşfi açısından istenmeyen bir sızıntı sınıfı. Özellikle güvenlik araştırması veya kamu API’leriyle çalışan ajanlarda User-Agent telemetrisi uzun süre saklanabilir.
Kullanıcılar şimdilik ne yapmalı?
- Claude Code’u latest kanala alıp en az 2.1.317+ sürümü doğrulayın; privacy uyarısının açık olduğundan emin olun.
- Ajanın web/shell çağrılarında e-posta görürseniz isteği reddedin; gerekirse ilgili site için ayrı, düşük değerli bir iletişim adresi kullanın.
- MCP, WebFetch, WebSearch ve özel script yollarını gözden geçirin; README’nin kapsamadığı kanalları geçici olarak kısıtlayın.
- Anthropic’in “e-postayı bağlamdan kaldırma” güncellemesini izleyin; geldikten sonra sürümü kilitleyin.
Bağlama konan her gerçek veri bir sızıntı adayıdır
Claude Code olayı, ajan güvenliğinde tekrar eden bir dersi sertleştiriyor: Halüsinasyonu azaltmak için bağlama eklenen gerçek kimlik, modelin araç kullanımına da taşınır. User-Agent yalnızca bir örnek; aynı desen Authorization başlığı, dosya yolu veya iç URL için de yeniden üretilebilir. Ürün ekipleri “model daha doğru yazsın” derken, güvenlik ekipleri “model bu veriyi nereye yapıştırabilir?” diye sormalı.
Anthropic’in hem uyarı katmanı eklemesi hem de e-postayı tamamen kaldırma sözü vermesi doğru yönde. Kullanıcı tarafında ise bugünkü güvenli varsayım şu: Stable’da eski sürüm varsa veya kapsam dışı bir araç yolu açıksa, hesap e-postası hâlâ dış isteklerde görünebilir.
Kaynak: Anthropic Claude Code ekibi açıklamaları, GitHub sorun kayıtları ve güvenlik basın duyuruları
