Un ticket très commenté sur le dépôt GitHub de Claude Code, l'agent de programmation d'Anthropic, accuse l'outil d'avoir transmis l'adresse email de ses utilisateurs à des sites tiers pendant des recherches web. Un correctif existe depuis le 3 novembre, mais il ne bloque qu'une partie des cas.
- Claude Code a été accusé de divulguer l'adresse email des utilisateurs à des sites tiers.
- Le problème a été signalé pour la première fois en juillet et concerne l'en-tête User-Agent.
- Un correctif partiel existe depuis la version 2.1.317, mais il ne bloque pas tous les cas.
- Le module de protection bloque certaines transmissions, mais laisse passer d'autres méthodes dangereuses.
L'accusation a été publiée le 5 novembre 2026 par taylor-edwards, dans un ticket ouvert sur le dépôt GitHub de Claude Code. L'auteur y écrit : « Je reçois des dizaines d'emails d'arnaque par jour parce que Claude Code a divulgué mon adresse email ». Sous la version 2.1.318, sur macOS, l'outil aurait glissé son adresse mail dans l'en-tête User-Agent, la ligne par laquelle un programme s'identifie auprès d'un site web, dans les requêtes qu'il envoie lors de ses recherches.
Un problème signalé dès juillet
Le ticket figure parmi les sujets les plus discutés sur le forum Hacker News, car le défaut n'est pas nouveau. Plusieurs signalements du même type ont été ouverts en juillet, puis en octobre. D'après le ticket #81138, Claude Code lit l'adresse du compte dans un fichier de configuration local et l'ajoute à ce que voit le modèle au début de chaque session. Un commentateur, phase3dev, prévient : « Ne méprisez pas l'intelligence de vos utilisateurs ».
Face à un site comme Wikipédia, qui demande aux programmes automatisés de s'identifier avec un contact, le modèle a parfois recopié cette adresse dans sa requête.
Un correctif qui ne couvre pas tous les cas
Anthropic n'a pas directement reconnu le problème. Un contributeur du dépôt a toutefois indiqué qu'un module de protection intégré à Claude Code, activé par défaut, bloque ce comportement depuis la version 2.1.317. Cette réponse ne suffit pas à calmer les critiques : un développeur a testé ce module avec 23 commandes contenant une fausse adresse.
Selon ce développeur, le module bloque bien l'envoi dans un User-Agent, mais laisse passer huit autres façons de transmettre l'adresse. Parmi elles figurent un autre en-tête, un identifiant de connexion, ou le cas où la commande va chercher elle-même l'adresse au dernier moment.
