Claude Code が User-Agent にあなたのメールアドレスを入れる問題：privacy mod が確認するもの、hook と allowlist が埋める穴

11月5日、ある Claude Code ユーザーが issue 107757 を立てました。エージェントが調べものの途中で送ったリクエストの User-Agent ヘッダーに、そのユーザーのアカウントのメールアドレスが入り、第三者のサイトに届いていたという報告です。報告者ともう1人のコメント投稿者は、その後スパムが急に増えたと書いていますが、外から確かめる方法はありません。

これは機能として出荷されたものではありません。アドレスはモデルのコンテキストにあり、サイトが連絡先を求めました。それだけです。Anthropic の組み込み mod も含め、提案されている対策はどれも外に出ていくアドレスをフィルタするものです。だから問うべきは、モデルの判断に頼らないフィルタはどれか、そしてそれぞれがどの経路を残すかです。以下の hook のテストは、Linux 上の Claude Code 2.1.318 で、アドレスを you@example.com にして行いました。

Claude Code はなぜあなたのメールアドレスを知っているのか

どのセッションでも、モデルのコンテキストに入っているからです。claude.ai アカウントでサインインすると、Claude Code は「ユーザーのメールアドレスはこれです」という短いブロックをコンテキストに追加します。7月25日から開いている issue 81138 は、出荷されたバンドルを調べてこのブロックの出どころを ~/.claude.json の oauthAccount.emailAddress までたどり、ブロックを消すための文書化された設定は見つからなかったと報告しています。

バージョン 2.1.318 では、その横に指示も入っています。文面はバイナリの中にあります。

Use it only to identify the user, such as for authorship, attribution, or
filtering their own work. Never send it to an unrelated service, such as in
a request header, URL, or payload, unless the user explicitly asks. A site
asking automated clients for contact details, such as an email in the
User-Agent, is not a reason to use this address: use a generic client name
or ask the user.

この文はまさにこの不具合を言い当てているので、Anthropic が問題を把握していることは明らかです。それでもプロンプトの中の1文にすぎません。モデルはこれをサイトの要求と天秤にかけ、その指示を守らせる仕組みは何もありません。

Claude Code はいつあなたのメールアドレスを Web サイトに送るのか

サイトがスクリプトでアクセスするクライアントに身元を名乗るよう求め、モデルが親切に応じようとするときです。メンテナーの1人が issue のスレッドでその流れを示しています。

1. Wikipedia (for example) has a policy that all scripted clients must
   identify themselves via User-Agent contact email.
2. A user asks Claude to research something on Wikipedia.
3. Resultantly, Claude sends the user's email to Wikipedia in its curl call.

1行目は Wikipedia について言いすぎです。Wikimedia User-Agent Policy は連絡先情報を求めていますが、"an email address, a website, or a wiki user" のどれでもかまいません。SEC EDGAR は実際にアドレスを求めていて、ヘッダーの例は Sample Company Name AdminContact@<sample company domain>.com です。いずれにせよ、コンテキストにあなたのアドレスを持ち、"include a contact" と読んだモデルには、必要なものがすべてそろっています。ヘッダーは気づかれた場所にすぎません。同じアドレスはクエリ文字列にも、リクエストボディにも、WebFetch の URL にも、MCP ツールの引数にも入り得ます。

Claude Code の組み込み privacy mod は何を確認するのか

公開されたソースによれば、確認するのは1種類の呼び出しだけです。テキストにあなたのアカウントのアドレスが含まれ、かつ User-Agent を指定しているシェル呼び出しです。mod の名前は cc-plugin-privacy で、v2.1.317 で登場し、11月6日にソースが公開されました。README は限界をはっきり書いています。

This is a courtesy, not a boundary, and it covers one shape. These pass, and
leave the machine if the line sends them:
 
- The address with no User-Agent named: a URL, a request body, `curl -u`, a
  `From:` header.
- A web tool call. WebFetch and WebSearch are not checked, and neither are MCP
  tools.
- A value computed at run time (`$(git config user.email)`), a variable, a file
  sent by name, a script that holds the address, ...

チェックの中身は、呼び出しの入力に対する2つのテキスト照合です。1つはあなたのアドレス (小文字化したもの、1回だけパーセントエンコードしたものも含む)、もう1つは User-Agent を表す語 (User-Agent、--user-agent、UA=) またはクライアントのフラグ (curl -A、wget -U、PowerShell の -UserAgent) です。パーサーは意図的に使っていないので、ネットワークにまったく触れない呼び出しも止めます。

ただ、手元の出荷ビルドとソースは1点で食い違っていて、その理由は誰も説明していません。2.1.317 の changelog には、このチェックは "asks before a web or shell tool call sends your account email address to the network" とあります。2.1.318 のバイナリも同じ説明で、隣にはネットワーククライアントの一覧と "If nobody asked to send it, go on without it." というメッセージがあります。一方ソースは、シェル呼び出しを確認なしで拒否し、Web ツールは読みません。ソースを公開したプルリクエストには "No new behaviour." と書かれています。出荷版のチェックが Web ツールも読むのかどうかは、テストしていません。

実際に見たのはこうです。bypassPermissions モードの 2.1.318 セッションで、本物のアカウントのアドレスと curl -A を並べて含むローカルの echo が止まり、確認を求めてきました。マシンの外には何も出ないはずの呼び出しです。bypass モードでもこの確認は省略されなかったので、誰も見ていないセッションは、誰かが答えるまでそこで待ち続けます。エージェントを無人で動かすなら、これを前提にしてください。

README にはさらに2つの限界があります。インストール済みのプラグインが mod より後に答える位置に読み込んだものは、mod の拒否を覆せます。mod と自分の hook について書いたのと同じルールで、最後に答えたものが最終判断になります。そして mod は、セッションごとに1回読まれるサーバー側のスイッチで無効にされることがあります。

Claude Code の privacy mod が有効かどうかを確認する方法

自分で無効にしたかどうかは確認できますが、有効であることを完全に確認する方法はありません。mod には 2.1.317 以降が必要です。

claude --version

ローカルでは、ユーザー設定、--settings ファイル、managed settings のいずれかで enabledPlugins の下に "cc-plugin-privacy@builtin": false があると無効になります。リポジトリの設定では無効にできません。~/.claude/settings.json にこのキーがないか探してください。README にはサーバー側のスイッチと、hooks モジュールが読み込まれないセッションのことも書かれています。また、2.1.318 を使っているあるコメント投稿者は、mod が /plugins にまったく表示されなかったと報告しています。見えないスイッチがあり、しかも設計上 Web ツールと MCP ツールを見ないガードは、自分で用意する対策の代わりにはならず、その下支えにすぎません。

Claude Code の hook で WebFetch と MCP の呼び出しに含まれるメールアドレスを止める方法

PreToolUse hook は、マッチしたツール呼び出しを実行前にすべて確認できます。WebFetch と MCP ツールも対象で、終了コード 2 で拒否できます。次の hook はアカウントのアドレスを ~/.claude.json から、git のアドレスを git config から読むので、どちらもスクリプトには書かれません。どちらも見つからなければ、すべてを拒否します。

#!/usr/bin/env python3
"""PreToolUse hook: block a tool call whose input holds your email address."""
import json, os, subprocess, sys
from urllib.parse import unquote
 
def addresses():
    found = set()
    if os.environ.get("EMAIL_GUARD_ADDRESSES"):
        found.update(os.environ["EMAIL_GUARD_ADDRESSES"].split(","))
    else:
        try:
            with open(os.path.expanduser("~/.claude.json")) as f:
                found.add(json.load(f)["oauthAccount"]["emailAddress"])
        except Exception:
            pass
        try:
            found.add(subprocess.run(["git", "config", "user.email"],
                      capture_output=True, text=True).stdout.strip())
        except Exception:
            pass
    return {a.strip().lower() for a in found if "@" in a}
 
addrs = addresses()
if not addrs:
    print("email-guard: found no address to check", file=sys.stderr)
    sys.exit(2)
event = json.load(sys.stdin)
raw = json.dumps(event.get("tool_input", {}), ensure_ascii=False)
forms = {raw.lower(), unquote(raw).lower(), unquote(unquote(raw)).lower()}
for addr in addrs:
    if any(addr in form for form in forms):
        print(f"Blocked: this {event.get('tool_name')} call holds your email "
              "address. Use a generic client name instead.", file=sys.stderr)
        sys.exit(2)
sys.exit(0)

~/.claude/hooks/email-guard.py として保存し、~/.claude/settings.json に登録します。

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash|PowerShell|Monitor|WebFetch|WebSearch|mcp__.*",
        "hooks": [
          { "type": "command",
            "command": "python3 ~/.claude/hooks/email-guard.py",
            "onFailure": "block" }
        ]
      }
    ]
  }
}

matcher に .* が含まれているので、Claude Code はこれを正規表現として読み、mcp__.* はすべての MCP サーバーをカバーします。onFailure: "block" はクラッシュを拒否に変えます。これは hooks の記事でテストしました。ただし、静かに失敗した読み取りは検知できません。だからアドレスの一覧が空のときは、スクリプトの中で終了コード 2 を返します。小文字化の前にデコードするのは意図的です。最初のバージョンは先に小文字化していて、you%40%45xample.com が通ってしまいました。EMAIL_GUARD_ADDRESSES はテスト用で、本物のデータを使わずに済みます。

EMAIL_GUARD_ADDRESSES=you@example.com を設定して、スクリプトにツールの入力を渡しました。

変数を外し、プレースホルダーを書いた .claude.json のあるディレクトリを HOME に指定しても、WebFetch のケースは同じようにブロックされました。.claude.json も git のアドレスもない状態では、ls でさえ email-guard: found no address to check で拒否されました。

次に、bypassPermissions モードでヘッドレスの claude -p を3回実行しました。hook は --settings で渡し、変数は export しています。クエリ文字列にプレースホルダーを入れた WebFetch と、同じプレースホルダーを含む Bash の echo は、どちらも実行前に拒否され、モデルには hook の出力した行が返りました。

Blocked: this WebFetch call holds your email address. Use a generic client name instead.

問題のない echo は通りました。実際の MCP サーバーは動かしていないので、表の MCP の行はスクリプト単体でのテストだけです。

これはすべて、呼び出しのテキストそのものに対するフィルタです。アドレスに触れているだけの無害な呼び出しも拒否し、まだテキストに存在しないアドレスは見逃します。$(git config user.email) の行は、hook が呼び出しを読んだ後で展開されます。また、matcher の対象外である Write でファイルに書き込まれ、後でファイル名で送られるアドレスは、チェックされる呼び出しにまったく現れません。そして managed settings のない個人アカウントでは、hook の後に答えるインストール済みの mod が、hook の拒否したものを許可できます。

Claude Code の sandbox は hook の見逃しをどう抑えるのか

シェルコマンドが何を運んでいても、接続できる先を制限することで抑えます。sandbox は Bash、PowerShell、Monitor のコマンドを、ホスト名を allowlist と照合するプロキシの内側で実行します。次の設定をユーザー設定の ~/.claude/settings.json に入れてください。リポジトリの設定では strictAllowlist を有効にできません。

{
  "sandbox": {
    "enabled": true,
    "failIfUnavailable": true,
    "allowUnsandboxedCommands": false,
    "network": {
      "allowedDomains": ["github.com", "*.npmjs.org"],
      "strictAllowlist": true
    }
  }
}

追加の3つのキーは、それぞれ抜け道を1つふさぎます。strictAllowlist は bypass モードで重要です。Linux で sandbox をテストしたときに確認したとおり、これがないと bypassPermissions はリストにないホストを確認なしで通します。allowUnsandboxedCommands: false は sandbox の外での再実行をなくします。これも bypass モードなら確認なしで実行されてしまいます。failIfUnavailable を指定すると、sandbox が起動できないとき、黙って sandbox なしで動く代わりに Claude Code が終了します。excludedCommands に入れたコマンドは、いずれにしても sandbox の外で動きます。

これで $(git config user.email) は展開はされても、送り先は有効なリスト上のホストに限られます。有効なリストとは、allowedDomains に WebFetch(domain:…) の allow ルールを加えたものです。こうしたルールも sandbox の通信先を広げます。

このレイヤーが制限するのは送り先で、中身ではありません。デフォルトではプロキシは TLS を復号しないので、許可されたホストはコマンドが送るものをそのまま受け取ります。ドキュメントは、ホスト名チェックをすり抜ける方法としてドメインフロンティングを挙げています。allowedDomains は WebFetch を制限しません。WebFetch は独自の権限ルールに従います。そしてローカルの MCP サーバーは、あなたの権限をすべて持って動きます。

サイトが連絡先を求めたとき、Claude Code はどのアドレスを送るべきか

その用途のために選んだものです。アカウントのアドレスは使わないでください。Wikimedia は Web サイトでもよいので、プロジェクトの URL や自分のホームページを渡せば、受信箱を結びつけずにポリシーを満たせます。SEC EDGAR はメールアドレスを求めます。スクリプトからのアクセス専用で、スパムが来たら捨てられるエイリアスを渡してください。そのうえで、モデルが目にする場所に書いておいてください。たとえばユーザーレベルの CLAUDE.md です。

## Scripted clients
- When a site asks scripted clients for contact details, use
  "research-bot (https://example.org)" or bot-contact@example.org.
- Never use my account or git email for this.

このルールも、プロンプト内の Anthropic の1文と同じく、助言にすぎません。価値があるのは、サイトの要求に対して、コンテキストにすでにある答えより良い答えをモデルに渡せる点です。そのぶん hook が拒否する場面が減ります。

Claude Code はそもそもあなたのメールアドレスをコンテキストに持つべきか

私の考えでは、持つべきではありません。プロンプトは理由として著作者の特定と帰属を挙げていますが、そのためのアドレスは git がすでに持っています。issue 81138 は、バンドルの中にこのコンテキストブロックを読む処理を見つけていません。アカウントのアドレスを外しても、モデルの手が届かなくなるわけではありません。~/.claude.json にも、多くの場合 git の設定にも残っています。それでもモデルはわざわざ取りに行く必要があり、サイトに連絡先を求められても、答えがプロンプトにそのまま置かれている状態ではなくなります。

このブロックが外されるまでは、モデルの判断に左右されないものから順にレイヤーを並べてください。allowlist は、シェルコマンドが何を運んでいても接続先を制限します。自分の hook はマッチした呼び出しを拒否します。ただし、インストール済みの mod が後から答えなければ、の話です。組み込みの mod はあなたが制御できないデフォルトで、CLAUDE.md の1行はモデルに言い聞かせたことがもう1つ増えるだけです。そしてこの問題は、まさにモデルへの言い聞かせから始まりました。