앤트로픽(Anthropic)의 AI 코딩 어시스턴트 클로드 코드(Claude Code)에서 심각한 개인정보 유출 문제가 발생했다는 버그 신고가 등록되어 논란이 되고 있습니다. 클로드 코드가 웹 검색 기능을 수행하는 과정에서 사용자 동의 없이 이메일 주소를 HTTP 요청의 User-Agent 헤더에 포함시켜 임의의 제3자 웹사이트로 전송했다는 주장입니다. 이로 인해 신고자는 하루 수십 통의 사기성 이메일을 받고 있다고 호소하며, 앤트로픽의 개인정보 보호에 대한 신뢰를 잃었다고 밝혔습니다.
해당 버그 신고(#107757)에 따르면, 클로드 코드 버전 2.1.318을 macOS(darwin) 환경의 tmux 터미널에서 사용하던 중 이러한 문제가 발생했습니다. 신고자는 이메일 노출이 스팸 증가의 원인이라고 지목하며, 단순히 옵트인/옵트아웃(opt-in/opt-out) 설정을 추가하는 것이 아니라, 에이전트 하네스(agent harness)에서 해당 동작을 완전히 제거할 것을 요구했습니다. 또한, 앤트로픽의 개인정보 보호 정책에 대한 불신으로 인해 이미 업무 환경을 Pi와 OpenRouter 같은 다른 서비스로 이전하고 있다고 덧붙였습니다. 이 문제는 레딧(Reddit)에서도 불거졌으며, 일부 사용자들은 클로드 코드 사용 후 업무용 이메일로 스팸이 급증했다고 증언하며, 심지어 개인 클로드 계정 사용자조차 회사 이메일 주소가 전송된 사례도 보고되었습니다.
앤트로픽은 뒤늦게 이 문제를 인지하고 버전 2.1.317 이상에서 'cc-plugin-privacy'라는 내장 모드를 도입하여 이메일 전송을 차단할 수 있도록 조치했습니다. 이 기능은 '/plugins' 경로에서 끌 수 있습니다. 그러나 많은 사용자들은 애초에 왜 이러한 민감한 개인정보가 기본값으로 HTTP 요청 헤더에 포함되어 전송되었는지에 대해 강하게 비판하고 있습니다. AI가 사용자의 의도를 정확히 추측하는 능력이 뛰어나지만, 개인정보 보호와 같은 중요한 영역에서는 기계의 판단에만 의존해서는 안 된다는 교훈을 남겼습니다. 이번 사건은 AI 서비스 제공자들이 사용자 데이터 보호에 얼마나 신중해야 하는지 다시 한번 일깨우는 계기가 될 것입니다.