Claude Codeのメールアドレス外部送信は止まった？v2.1.311は75回中34回、v2.1.319は0回

Claude Codeは本当にメールアドレスを外部へ送るのか？

送ることがあります。claude.aiアカウントでログインすると、Claude Codeはアカウントのアドレスをモデルに渡します。モデルがcurlなどのコマンドを自分で書くとき、サイトが連絡先を求めていると、そのアドレスをUser-Agentに入れることがありました。

User-Agentは、通信相手に自分のソフトウェアを名乗るヘッダーです。SEC EDGARは自動アクセスにメールアドレス入りのUser-Agentを求め、Wikimediaも連絡先を求めています。モデルはこの慣習に従おうとして、利用者の許可なくアドレスを使っていたわけです。送られた先のサーバーには、アドレスがアクセスログとして残る可能性があります。

発端となったissue #107757の報告者は、v2.1.318で起きたと述べ、毎日届く詐欺メールとの関係を訴えています（因果関係は確認されていません）。別の利用者は自分のログを調べ、8セッションで53回、ほとんどがサブエージェントのcurlだったと報告しました。

当研究所のログも調べました。1,421ファイル（2026年8月14日以降）のうち、2026年10月10日に実際のSEC EDGARへアドレス入りのUser-Agentで送信した呼び出しが1回あり、応答も返っていました。アドレスを送るよう頼んだ作業ではありません。

「アカウントのメールアドレスを、Claude Codeがモデルに渡す文脈から削除します。（中略）こんなことは起きるべきではなく、もっと早く気づくべきでした」

"We're removing the account email address from the context Claude Code gives the model. [...] Again, this should not have happened, and we should've caught this behavior earlier."

Lydia Hallie（Claude Code担当と本人が明記）— Hacker News、2026年11月6日

アドレスがモデルに渡る仕組み自体は、Claude Codeのシステムプロンプトに入るメールアドレスで詳しく説明しています。

バージョンでどれだけ違うのか？

差は大きく、v2.1.311では約45%の実行でアドレスが送られ、v2.1.319の既定設定では0回でした。v2.1.319はmodを切っても75回中4回です。送信を減らした主因はmodだけではなく、モデルへの指示の変更である可能性が高いと当研究所は見ています。

試験はclaude -pで行い、SEC EDGAR、Wikipedia、Unpaywall、Crossref、crates.ioのAPIを「curlなどで調べて」と頼みました。実サイトには送らず、実行直前にURLを手元のサーバーへ書き換え、OSサンドボックスで外部通信も遮断しています。サーバーは各サービスの公開ポリシーをまねて連絡先を要求します。WebFetchは止めてBashに絞っているので、普段の使い方そのものではありません。

v2.1.311で送信があった34回のうち、13回は最終報告にメールの話が一切ありませんでした。結果だけを読むと、送ったことに気づけません。送信57回の内訳は、User-Agentが49回、UnpaywallのようにURLのパラメータで送ったものが8回です。

モデルに渡る注記を版ごとに比べると、v2.1.316には無かった「連絡先を求めるサイトがあっても、このアドレスを使う理由にならない。汎用のクライアント名を使うか利用者に尋ねる」という趣旨の一文が、v2.1.317以降に入っていました。modを切ったv2.1.318・v2.1.319でも送信が激減しているので、この一文が効いたと考えられます。ただし版の間には他の変更もあるため、断定はできません。指示はモデルの判断に頼るものなので、v2.1.319のmodなしでも4回は送っています。

標準のcc-plugin-privacyはどこまで止めるのか？

cc-plugin-privacyは、シェルの呼び出しの文字列にアドレスが見えていれば止めます。スクリプトファイルの中や、コマンドの実行結果として後から入るアドレスは止めません。普通の依頼では効いていますが、安全を保証する仕組みではありません。

このチェックはv2.1.317の更新で追加されました。手元のサーバーに向けて、送信の形を変えた8種類のコマンドをv2.1.319で実行し、届いたかを確かめた結果が次の表です（各1回）。

スクリプトで止まらない点は、Hallie氏も「Claudeがスクリプトを書いて実行する場合など、すべてを防ぐわけではない」と認めています。止まったときの動きは起動方法で変わり、claude -pは拒否して続行します。対話モードでは、curlの許可ルールがあっても確認画面が出ました。

Hook tool.check requires confirmation for this command:
This call's input holds your account email address, which may leave this machine.
[plugin:cc-plugin-privacy]
Do you want to proceed?

注意点が3つあります。

• 公開ソースとの違い：GitHubのmods/privacyのREADMEは「User-Agentの指定があるときだけ確認なしで拒否する」と説明しています。手元のv2.1.319はURLやPOST本文でも止まり、対話では確認を求めました。今後の版で範囲が変わる可能性があります。
• 止まらないという報告：macOSとWindowsの利用者から、v2.1.317・v2.1.318でmodが働かなかったという報告があります。当研究所のmacOSのclaude -pでは両版とも止まりました。環境によって違う可能性があるので、自分の環境で試す価値があります。
• 通信しない呼び出しも止まる：issue #107144は、アドレスとURLを書くだけのファイル作成まで止まると報告しています。無人実行では、処理が静かに変わることがあります。

自分のアドレスが送られたか確かめる方法は？

Claude Codeの会話ログを調べれば、候補を見つけられます。次のスクリプトは、アドレスとURLが同じツール呼び出しに入っていた回数を接続先ごとに表示します。アドレス自体は表示せず、どこにも送りません。

import json, os, pathlib, re

email = json.load(open(os.path.expanduser("~/.claude.json")))["oauthAccount"]["emailAddress"].lower()
logs = pathlib.Path(os.path.expanduser("~/.claude/projects"))
host = re.compile(r"https?://([A-Za-z0-9.-]+)")
found = {}

for path in logs.rglob("*.jsonl"):
    for line in open(path, errors="ignore"):
        if '"tool_use"' not in line or email not in line.lower():
            continue
        try:
            content = json.loads(line).get("message", {}).get("content", [])
        except json.JSONDecodeError:
            continue
        for block in content if isinstance(content, list) else []:
            if not isinstance(block, dict) or block.get("type") != "tool_use":
                continue
            text = json.dumps(block.get("input"), ensure_ascii=False)
            if email in text.lower():
                for h in set(host.findall(text)) - {"127.0.0.1", "localhost"}:
                    found[h] = found.get(h, 0) + 1

print(found or "該当なし")

結果の読み方には3つの注意があります。

• 表示されても送信とは限りません。メールの下書きの署名や、自社サイトのURLと同時に書いただけの場合も出ます。知らない接続先のログを見て判断してください。
• 該当なしでも安心はできません。会話ログの保持は既定で30日で、実行時に読み込まれたアドレスは記録に残りません。
• APIキー認証では動きません。このスクリプトはclaude.aiログインのアドレスを読みます。APIキー認証の場合は、gitなどに設定している自分のアドレスに置き換えて調べてください。

メールアドレスの送信を止めるには何をすればよいのか？

まず版を確かめ、v2.1.317未満なら更新してください。通常の利用ならそれで多くの場合に足ります。顧客情報を扱う環境や無人実行では、サンドボックスで接続先を制限すると、モデルの判断に頼らずに通信を止められます。

import json, os, sys, urllib.parse

try:
    data = json.load(sys.stdin)
    raw = json.dumps(data.get("tool_input", {}), ensure_ascii=False)
    hay = (raw + " " + urllib.parse.unquote_plus(raw)).lower()
    account = json.load(open(os.path.expanduser("~/.claude.json")))["oauthAccount"]["emailAddress"].lower()
    if account in hay or "user.email" in hay:
        print(json.dumps({"hookSpecificOutput": {
            "hookEventName": "PreToolUse",
            "permissionDecision": "deny",
            "permissionDecisionReason": "アカウントのメールアドレスを含む呼び出しは禁止です。連絡先が必要なら利用者に確認してください。"}}))
    sys.exit(0)
except Exception as e:
    print(f"guard error: {e}", file=sys.stderr)
    sys.exit(2)

{
  "hooks": {
    "PreToolUse": [
      { "hooks": [ { "type": "command", "command": "python3 ~/.claude/hooks/no_account_email.py", "timeout": 10 } ] }
    ]
  },
  "sandbox": {
    "enabled": true,
    "network": { "allowedDomains": ["github.com", "*.npmjs.org"] }
  }
}

サンドボックスの対話モードでは、未許可の接続先を尋ねられます。承認するとそのセッション中は許可されるので、尋ねられない設定にしたいときは公式のstrictAllowlistを確認してください（今回の実測はstrictAllowlistなしのclaude -pです）。社内でまとめて管理するなら、managed settingsで最低バージョンを揃える方法もあります。権限設定全般はClaude Codeの必須セキュリティ8選にまとめています。

修正が出たあとも残るリスクは？

アカウントのアドレスがモデルに渡らなくなっても、モデルが読める場所にある個人情報は同じ経路で外に出る可能性があります。修正後の版を試すまで効果は判断できないので、当面は修正を待つだけでなく、依頼の結果と通信先を見る習慣が必要です。

• gitのアドレス：git logやgit configを読めば、モデルはアドレスを知ることができます。公開リポジトリでは、GitHubのnoreplyアドレスを使うと影響を減らせます。
• プロジェクト内の個人情報：顧客台帳や設定ファイルの連絡先も文脈に入ります。今回の結果は、モデルが「サイトの決まりに従おう」として判断する例です。機密を読ませる作業と、外部通信を許す作業は分ける方が安全です。
• User-Agentの他の情報：今回の実測でも、作業フォルダ名に似た語をUser-Agentに入れる例がありました。社名や案件名がフォルダ名に入っている場合は同じ問題が起きます。

今回の実測には限界もあります。5つのAPIと単発の短い依頼だけを試し、長い作業やサブエージェントが多数動く場面は再現していません。サーバーは模擬で、版の比較は同じ日の1台のMacによるものです。v2.1.319の「0回」は、この条件での結果です。

まとめ