Claude Code : l'email du compte partait dans le User-Agent — ce que le correctif 2.1.317 ne bloque pas

En une phrase : Si tu utilises Claude Code avec un compte Anthropic, l'outil a pu envoyer l'adresse email de ce compte à des sites tiers dans l'en-tête User-Agent ; le filet ajouté en 2.1.317 ne couvre qu'une forme d'appels shell, le canal stable était encore en 2.1.311 le 8 novembre 2026, et le retrait de l'email hors du contexte du modèle n'est pas dans la 2.1.319.

Claude Code est l'agent IA de programmation d'Anthropic. Le 5 novembre 2026, un utilisateur a décrit, dans un ticket toujours ouvert du dépôt officiel, que l'outil avait transmis l'adresse de son compte à des tiers via l'en-tête HTTP User-Agent, pendant des recherches web, « without my permission ». L'apport de cet article n'est pas de relayer le signalement : il recoupe le journal des modifications, le README du module privacy, les dates de publication des versions sur GitHub et l'état du registre npm au 8 novembre 2026. Ce n'est pas un avis juridique. Le sujet relève de la vie privée et de la sécurité des outils, au même titre qu'un autre incident, sans rapport, qui a visé une copie piégée de l'extension dans la boutique de Cursor fin octobre (voir comment vérifier son ordinateur après cette attaque).

Ce qui a été signalé

Le ticket n° 107757 a été ouvert le 5 novembre 2026 à 22 h 13 UTC, soit 23 h 13 à Paris, par le compte taylor-edwards, avec les libellés bug, area:security et area:tools. L'auteur écrit utiliser la version 2.1.318 sur macOS, et affirme recevoir « dozens of scam emails per day because claude code divulged my email to arbitrary 3rd parties in the User-Agent request header while conducting web searches ». D'autres commentaires du même fil rapportent un envoi vers le site de la SEC américaine, ou relient une hausse de courriers indésirables au même mécanisme ; ce sont des témoignages, pas une mesure de la rédaction.

Un membre de l'équipe, sous le compte poteat, a répondu le 5 novembre à 23 h 31 UTC : « We introduced a built-in mod called cc-plugin-privacy to deterministically block this behavior in v2.1.317 and later ». Le module est activé par défaut et se désactive via /plugins. Dans un commentaire suivant, la même personne précise que personne n'a implémenté « this "share email addresses to websites" as a feature » : le modèle rédige lui-même ses appels curl, et peut y coller l'adresse qu'il a dans son contexte. Un ticket plus ancien, le n° 81138, ouvert le 25 juillet 2026 et encore ouvert le 8 novembre, signalait déjà que l'adresse du compte était injectée dans le contexte du modèle « without consent ».

Lydia Hallie, qui écrit sur Hacker News travailler sur Claude Code, a donné le 6 novembre la cause côté produit : des utilisateurs se plaignaient que Claude invente des noms pour des balises du type @author, « so we added the account email in the model's context for signed-in users ». Quand Claude écrivait ensuite une commande, « it sometimes put your email address in the User-Agent as a contact address ». Elle s'excuse (« I'm sorry we let this happen ») et annonce : « We're removing the account email address from the context Claude Code gives the model », dans « the next release, which should arrive early next week ».

Ce réflexe du modèle n'est pas gratuit. La politique User-Agent de la Wikimedia Foundation, en vigueur depuis le 15 février 2010, demande aux scripts un en-tête informatif « with contact information ». La page d'accès aux données EDGAR de la SEC demande elle aussi de déclarer un User-Agent, sous la forme d'un nom d'organisation et d'un contact électronique. Quand ces règles rencontrent un modèle qui connaît l'email du compte, l'adresse part avec la requête.

Ce que dit vraiment le correctif 2.1.317

Les dates de publication des versions, lues sur GitHub le 8 novembre 2026, et ce que chaque texte dit de l'email :

Le filet est donc sorti avant le ticket devenu visible, pas en réaction immédiate. Le README du module décrit pourtant autre chose que la phrase du journal. Il pose un crochet tool.check : un appel Bash, PowerShell ou Monitor dont l'entrée contient l'adresse du compte et nomme un User-Agent est refusé. « The refusal raises no prompt, whoever is there and whatever the permission mode. » Une règle d'autorisation enregistrée et le classifieur du mode automatique ne lèvent pas ce refus. Le module se présente lui-même comme « a courtesy, not a boundary ».

Surtout, le README du module liste ce qui passe : une adresse envoyée sans le mot User-Agent (URL, corps de requête, curl -u, en-tête From:) ; « A web tool call. WebFetch and WebSearch are not checked, and neither are MCP tools » ; une valeur calculée à l'exécution, une variable, un fichier, un script qui contient l'adresse, un client non nommé, un autre encodage que le percent-encoding simple. Lydia Hallie le dit aussi sur Hacker News : le module « still doesn't prevent all cases, like when Claude writes a script and runs on its own ».

Deux écarts se croisent donc. Le journal parle d'une vérification qui « asks before » un appel « web or shell » ; le module dit refuser sans invite, et ne pas regarder les outils web intégrés. Sur le ticket, plusieurs utilisateurs ont ensuite écrit, les 6 et 7 novembre, que le module chargé ne refusait pas un appel shell contenant à la fois l'adresse du compte et le mot User-Agent, y compris en version 2.1.319. La rédaction n'a pas reproduit ces essais : ce sont des témoignages publiés sur le dépôt officiel.

Le module se désactive par /plugin disable ou en passant "cc-plugin-privacy@builtin": false sous enabledPlugins. Un crochet d'un autre greffon, placé au-dessus, peut aussi lever le refus.

Ce que ça change si tu utilises Claude Code en France

Le point le plus concret n'est pas le ticket du 5 novembre : c'est le canal de mise à jour. Le 8 novembre 2026, le registre npm du paquet officiel @anthropic-ai/claude-code renvoyait stable vers 2.1.311, et latest comme next vers 2.1.319. La page publique du paquet affichait aussi la version 2.1.319. Lydia Hallie écrivait déjà le 6 novembre que « the stable channel is still on 2.1.311, so update to 2.1.317 or later ». Deux jours plus tard, le dist-tag stable n'avait pas bougé. Une installation qui suit ce canal n'a donc pas le filet de la 2.1.317.

Trois décisions pratiques en découlent, sans prétendre tester l'outil à ta place :

1. Vérifier la version affichée par Claude Code. En dessous de 2.1.317, le filet décrit dans le journal n'est pas là. Passer à 2.1.317 ou plus récent suppose de suivre le canal latest, pas seulement stable, tant que ce dernier reste en 2.1.311.
2. Laisser le module cc-plugin-privacy activé, et ne pas le considérer comme une cloison : le README dit ce qu'il laisse passer, notamment WebFetch, WebSearch, les outils MCP et un script que le modèle écrit puis exécute.
3. Traiter l'adresse du compte Anthropic comme déjà exposable à des sites visités par l'agent. Une adresse électronique est une donnée à caractère personnel au sens de l'article 4 du règlement (UE) 2016/679. Si c'est l'email de ton activité, des tiers peuvent l'avoir associée à des requêtes automatisées. Ce constat ne dit pas, à lui seul, si une notification ou une réclamation devant la CNIL est fondée : cela dépend des faits de ton cas.

Si tu administres un plan Claude Enterprise, Anthropic a par ailleurs généralisé le 5 novembre 2026 les hooks d'inférence, qui peuvent inspecter une invite et un appel d'outil avant qu'ils n'atteignent le modèle ou ne s'exécutent ; le security center et la plupart des autres contrôles restent en bêta (voir ce qui est vraiment en disponibilité générale parmi les contrôles de sécurité de Claude Enterprise).

Le même outil a aussi vu, dans la version 2.1.317, une consigne réécrite contre la recréation de jeux existants : deux changements dans la même livraison, l'un visible dans le journal (le filet privacy), l'autre non.

Autre fuite possible, côté dépôts cette fois : la réponse « don't ask again » peut garder en clair dans .claude/settings.local.json un mot de passe tapé dans une commande ; voir comment vérifier tes dépôts et révoquer les secrets exposés.

Ce qu'on ne sait pas encore

Le ticket n° 107757 était toujours ouvert le 7 novembre 2026 à 23 h 26 (Europe/Paris), dernière mise à jour lue le 8 novembre. Anthropic n'y a pas publié, à cette date, de bilan chiffré (combien de comptes, quels sites, sur quelle période). Le lien entre ces en-têtes et une hausse de courriers indésirables, allégué par l'auteur du ticket et par d'autres commentaires, n'est pas établi par un tiers nommé. La rédaction n'a pas de visibilité sur le calendrier interne au-delà de la phrase de Lydia Hallie du 6 novembre, et le journal de la 2.1.319 n'enregistre pas encore le retrait annoncé de l'email hors du contexte.