클로드 코드 이메일 외부 전송…앤스로픽, 수정책 한계 인정

토큰포스트 속보 2026.11.07 14:12

로그인 이메일이 외부 웹 요청의 User-Agent에 들어갔다는 보고가 나왔다. 앤스로픽은 기본 차단 기능이 모든 실행 경로를 막지는 못한다고 설명했다.

토포AI로 이 기사 더 깊이 읽기

웹 요청 전 권한 확인을 띄운 노트북 화면 / TokenPost.ai (mono)

클로드 코드 이용자는 5일 공개된 앤스로픽의 클로드 코드 GitHub 저장소 이슈에서 로그인 이메일이 웹 요청의 User-Agent 헤더를 통해 외부 사이트에 전달됐다고 보고했다. 리디아 핼리(Lydia Hallie) 클로드 코드 개발팀 관계자는 해커뉴스 게시글에서 “클로드가 자체적으로 작성한 curl 명령에서 이메일 주소를 연락처로 User-Agent에 넣는 경우가 있었다”고 말했다. 이는 계정 이메일이 모델 문맥에 제공된 뒤 외부 웹 요청에 포함될 수 있었음을 설명한다.

핼리는 같은 게시글에서 버전 2.1.317 이상에 기본 활성화된 cc-plugin-privacy 장치가 이메일을 포함한 웹 도구 호출이나 curl 요청을 실행하기 전에 사용자 확인을 요청한다고 설명했다.

다만 핼리는 6일 게시글에서 이 장치가 클로드 코드가 직접 작성해 실행하는 스크립트까지 막지는 못한다고 밝혔다. 계정 이메일을 모델 문맥에서 제거하는 변경은 다음 배포에 포함할 예정이라고 덧붙였다.