November 6, 2026

Claude Codeのメールアドレス問題を、原文で確認した――わかったことと、まだ確認できな⁠い⁠こ⁠と

AnthropicのAIコーディングツール「Claude Code」が、利用者のメールアドレスを、外部のサイトに送っていた、という報告が、2026年11月5日に、GitHubに出ました（issue #107757）。日本語の報道の見出しは、「勝手に送信」で⁠し⁠た⁠。

この記事は、報告と、Anthropic自身の公開ファイルを、原文で読み、確認できたことと、まだ確認できないことを、分けたものです。情報は、2026年11月6日の時点のもの⁠で⁠す⁠。

日本語で出回っている情報には、原文と異なる訳や要約が、かなり見受けられます。この記事は、一次情報を私たちも原文で確認して書いていますが、読者の皆さんも、各社の原文でのご確認をお勧めし⁠ま⁠す⁠。

要点

メールアドレスは、モデルに渡される文脈に、入っています。Anthropic自身の公開ファイル（privacy modのREADME）が、文脈がモデルに、ログイン中のアカウントのアドレスを渡す、と書いています（READM⁠E⁠）⁠。
そのアドレスが、curlのコマンドのUser-Agentに書かれた例が、複数報告されています。ログの抜粋つきの報告もあります（#78431、#10165⁠9⁠）⁠。
「勝手に送信」の中身は、固定のヘッダーに入る、というより、モデルが、コマンドに書く、という報告です。サイトが、連絡先を求める場合に、起きてい⁠ま⁠す⁠。
修正は、バージョン2.1.317で入りました。ただし、Anthropic自身の説明が「確認する」と「確認せずに拒否する」に分かれていて、対象も限られてい⁠ま⁠す⁠。
7月の最初の報告は、Anthropicの返信がないまま、9月に、自動で閉じられていま⁠し⁠た⁠。

何が報告さ⁠れ⁠た⁠か

日付（2026年）	報告	内容	状態
7月17日	#78431（v2.1.212）	実際のメールアドレスが、User-Agentに使われた。8月11日に、crates.ioへのcurlのログが、コメントで示された	9月11日に、ボットが、非活動を理由に「対応予定なし」で閉じた。Anthropicの社員のコメントは、見当たらない
7月25日	#81138（v2.1.220）	アカウントのメールアドレスが、モデルの文脈に自動で入り、無効にする設定がない、という報告	開いたまま。Anthropicの社員のコメントは、見当たらない
10月12日	#101659（v2.1.285）	サブエージェントが、Liquipediaへのcurlに、メールアドレスを書いた	開いたまま
10月15日	#102577（v2.1.300）	Wikipediaの検索で、メールアドレスが、4回のリクエストに入った	開いたまま
11月5日	#107757（v2.1.318）	Web検索中に、メールアドレスが送られた、という報告	開いたまま。「Contributor」の表示の人が、修正を説明するコメントを、同日に書いている

日付は、各ページの表示⁠で⁠す⁠。

7月17日の報告から、11月5日までは、約3カ月半⁠で⁠す⁠。

メールアドレスは、文脈に入っ⁠て⁠い⁠る

privacy modのREADMEは、この仕組みの前提を、こう書いています。文脈は、利用者を識別するために、ログイン中のアカウントのアドレスを、モデルに渡します。このmodは、そのアドレスが、クライアントの連絡先として、外に出ないようにするものです（READM⁠E⁠）⁠。

一方、公式の文書の「データの利用」と「設定」のページには、この説明がありません。専用のページも、ありません。設定のページは、システムプロンプトは公開されていない、と書いています（設⁠定⁠）⁠。

#81138の報告者は、アプリの中身を解析して、設定ファイルのアドレスが、毎回、モデルの文脈に入る、と書いています。同じissueの8月28日のコメントは、v2.1.246から、「無関係なサービスには送らない」という注意書きが、一緒に入るようになった、と報告しています（#8113⁠8⁠）⁠。

つまり、「送らない」は、モデルへの指示です。機械的な遮断では、ありま⁠せ⁠ん⁠。

モデルが、コマンド⁠に⁠書⁠く

報告された例は、どれも、モデルが、シェルのコマンドを作り、その中に、アドレスを書いたもの⁠で⁠す⁠。

crates.ioへの確認で、curlのUser-Agentに、メールアドレスが入っていた（8月11日のコメントで、ログが示された。#784⁠3⁠1⁠）
調査用のサブエージェントが、Liquipediaへのcurl -Aに、メールアドレスを入れた。サイトは403を返した。報告は、Liquipediaが、APIの利用者に、User-Agentでの名乗りを求めているため、と説明している（#1016⁠5⁠9⁠）

サイトのほうが、連絡先を求めている場合がある、という点が、肝心です。#78431のコメントでは、Claudeが「APIの提供元の方針に従った」と答えた、と報告されています。crates.ioの案内は、連絡先を入れることを「推奨」していて、必須とは、していません（コメントの引用による。#7843⁠1⁠）⁠。

また、毎回起きるわけでは、ありません。#78431では、別の利用者が、同じバージョンで、再現できなかった、と書いています。モデルが、毎回、同じように書くわけでは、ない、ということ⁠で⁠す⁠。

修正：何が入って、何が入ってい⁠な⁠い⁠か

バージョン2.1.317の更新履歴には、こう書かれています。ウェブまたはシェルのツールの呼び出しが、アカウントのメールアドレスを、ネットワークに送る前に、確認する（CHANGELO⁠G⁠）⁠。

実際の仕組みは、privacy modです。READMEによると、次のとおりです（READM⁠E⁠）⁠。

Bash、PowerShell、Monitorの呼び出しのうち、アドレスを含み、かつUser-Agentを指定しているものを、拒否する。確認の画面は、⁠出⁠な⁠い
拒否されたモデルは、アドレスを外して、やり直すよう指示⁠さ⁠れ⁠る
判定は、二つの単語の一致を調べるだけで、構文を解析⁠し⁠な⁠い

READMEは、このmodを「礼儀であって、境界ではない」と書き、対象外を挙げてい⁠ま⁠す⁠。

User-Agentを指定せずに、アドレスが送られる場合（URL、リクエストの本文、curl -u、Fromヘッ⁠ダ⁠ー⁠）
WebFetch、WebSearch、MCPの⁠ツ⁠ー⁠ル
変数、ファイル、スクリプトを通した値、リストにないクライアント、ほかの方法で設定したヘ⁠ッ⁠ダ⁠ー

止める方法は、次の二つです。サーバー側の切り替えも、あり⁠ま⁠す⁠。

/plugin disable

設定（enabledPlugins）に、次を書く方法もあり⁠ま⁠す⁠。

"cc-plugin-privacy@builtin": false

ここに、食い違いが二つあり⁠ま⁠す⁠。

更新履歴は、「確認する」「ウェブまたはシェル」と書きますが、READMEは、「確認なしで拒否」「シェルのツール」で、WebFetchとWebSearchは対象⁠外⁠で⁠す
#107757の報告者は、修正後のバージョン（2.1.318）で、「Web検索」の間に起きた、と書いています。READMEの上では、WebSearchは対象外です。ただし、報告は、どのツールが送ったかを、示していません。modが有効だったかも、わかり⁠ま⁠せ⁠ん

導入前に確認す⁠る⁠こ⁠と

AIコーディングツールを、社内で使い始める前に、次の点を確認してくだ⁠さ⁠い⁠。

1. バージョンと、mod⁠の⁠状⁠態

claude --versionで、2.1.317以上であることを確認します。/pluginで、privacy modが有効かを見ます。組織で管理する場合の、modの制御については、公式の案内があり⁠ま⁠す⁠。

2. 設定ファイルに、メールアドレスが⁠あ⁠る⁠か

公式の文書は、~/.claude.jsonに、アカウントの情報が入っている、と書いています（設定）。メールアドレスの有無は、次の読み取りだけのコマンドで、確認できます（TrueかFalseだけを表示しま⁠す⁠）⁠。

python3 -c "import json,os; d=json.load(open(os.path.expanduser('~/.claude.json'))); print('email present:', 'emailAddress' in d.get('oauthAccount', {}))"