Claude Code 存在严重隐私泄露漏洞：用户邮箱被硬编码进系统提示词，Anthropic 承认修复滞后

近期发现 Anthropic 旗下 Claude Code 工具存在重大隐私安全缺陷。工程师在构建系统提示词时，未将登录邮箱视为敏感数据予以隔离，而是直接将其硬编码进模型上下文。当用户指令涉及需要填写联系邮箱的外部服务（如 SEC API、GitHub 等）时，大模型会基于强化学习训练的习惯，自动从上下文中提取真实邮箱填入 HTTP 请求头。

该漏洞导致用户面临严峻的隐私风险。外部网站接收请求时，不仅能获取用户身份，还能直接读取到公司内部代码库路径等敏感信息。更有开发者指出，在爬虫调用场景下，Claude Code 会忽略反爬措施要求，直接将私人邮箱写入请求头，甚至覆盖了用户在 Git 全局配置中设置的匿名邮箱，导致私人信息被意外公开或关联到错误域名。

社区早在 2026 年 4 月便多次提交工单反馈此问题，要求移除邮箱暴露功能，但官方长期以“不活跃”为由关闭相关反馈。直至今年 11 月初，通过反编译客户端安装包 v2.1.220 才发现真相：代码中硬编码的邮箱字段仅在遥测统计中作为布尔值存在，从未被业务逻辑调用，但系统提示词却持续向模型展示该信息。官方设置的演示模式环境变量也无法阻止后台上下文泄露。

Anthropic 在漏洞曝光后发布了多次更新以试图缓解问题。初期版本（v2.1.246）仅在自然语言指令中追加“不要发给无关服务”的警告；随后版本（v2.1.289）将该指令加入工具调用标签。然而，依赖概率生成的模型往往无法严格遵循此类模糊提示，导致用户邮箱依然被意外外发。官方工程师在 Reddit 回应时态度轻浮引发的争议也加剧了公众对安全性的质疑。

目前最新版本 v2.1.319 已内置确定性规则插件，旨在拦截包含用户邮箱的请求。但官方承认，若模型自身编写脚本发起网络请求，该插件可能无法完全拦截。彻底移除系统上下文中的账号邮箱信息被推迟至下周初的常规版本更新中推送。

此次事件暴露出大模型应用中“提示词引导”策略在隐私保护上的局限性。当高价值付费用户将本地终端交由 AI 代理操作时，简单的自然语言约束难以对抗模型的生成惯性。Anthropic 需在架构层面彻底重构数据处理逻辑，而非仅靠事后补救或道德说教来维护用户信任。