Claude Code e-postanı her siteye mi gönderiyor? GitHub'da iddia

Hata kaydı tam olarak neyi iddia ediyor?

anthropics/claude-code GitHub deposunda açılan kayda göre Claude Code, web aramaları yaparken kullanıcının e-posta adresini User-Agent istek başlığı üzerinden ilgisiz üçüncü taraflara sızdırdı.

User-Agent başlığı, bir tarayıcının veya uygulamanın kendini tanıtmak için siteye gönderdiği metindir. Normalde tarayıcı adı ve sürümü gibi bilgiler yer alır. Bu vakada ise Claude Code'un bu başlığa kullanıcının e-posta adresini yazdığı iddia ediliyor; yani aracın dokunduğu her site bu adresi kaydedebilir.

Kaydı açan geliştirici sonuç konusunda net: artık günde düzinelerce dolandırıcılık maili aldığını söylüyor. Sızıntının doğrudan sebep olduğu bu kayıtla kanıtlanmış değil; ancak zamanlama ve mekanizma herhangi bir geliştiriciyi rahatsız etmeye yeter.

Sorun, deponun otomasyonu tarafından 5 Kasım 2026'da bug, platform:macos, area:security ve area:tools etiketleriyle işaretlendi. Bu bir sınıflandırma adımı; Anthropic'in hatayı kabul ettiği anlamına gelmiyor.

Geliştiriciler neden ciddiye alıyor?

Claude Code pasif bir sohbet botu değil. Geliştiricinin makinesinde komut çalıştırıyor, dosya okuyor ve web'de geziyor; çoğu zaman özel depolara erişimi var.

Bu yüzden kimlik bilgisi sızıntısı bir sohbet penceresindekinden çok daha ağır sonuçlar doğuruyor. Belirli bir geliştiriciye, belirli bir şirkete ve belirli aramalara bağlı bir e-posta adresi, hedefleme profili demek. Dolandırıcıların inandırıcı bir kimlik avı e-postası hazırlamak için bundan fazlasına ihtiyacı yok.

Kaydı açan kişi, bu ayarın hiç var olmaması gerektiğini savunuyor; açık ya da kapalı bir seçenek olarak sunulmasını bile yanlış buluyor. Gerekçesi makul: e-posta adresi, ajan trafiğinden hoşlanmayan servislere hiçbir fayda sağlamıyor, anonimliği korumuyor ve dolandırıcılar için altın değerinde. Başlık ajanı tanımlamak için kullanılacaksa e-posta adresi yanlış kimlik.

Tartışma başlığındaki tepkiler de Anthropic'e pek nazik değil. Bir yorumcu, şirketlerin gizliliğe önem verdiği yönündeki söylemi alaycı bir dille eleştirmiş. Güven zaten zayıfsa bu tür yorumlar hızla beğeni topluyor.

Asıl soru: Claude Code varsayılan olarak ne gönderiyor?

Kayıt, tek bir başlığın ötesine geçen bir soruyu gündeme getiriyor: Claude Code kutudan çıktığı haliyle hangi kimlik bilgilerini gönderiyor ve bunlar nasıl kapatılır?

Anthropic bu haberin yazıldığı an itibarıyla konuya dair kamuya açık bir yanıt yayımlamadı. O yanıt gelene kadar hiçbir şeyi varsaymamak en güvenlisi. Claude Code'u iş makinesinde çalıştırıyorsanız, özellikle kayıtta adı geçen macOS'ta, ağ üzerinden ne gönderdiğini kontrol edin.

Kaydı açan geliştiricinin kendi çözümü aracı terk etmek oldu. Gizliliği konusunda Anthropic'e artık güvenmediği için şirketini Pi ve OpenRouter'a taşıdığını söylüyor. Bu tek bir geliştiricinin kararı; ama ekipler içinde hızla yayılan türden bir karar.

Anthropic'in son dönemde güvenlik tarafında attığı adımlar da bu tür iddiaları daha görünür kılıyor: şirketin siber modeli Linux çekirdeğinde 948 açık bulup yamalarını yazmıştı. Aynı şirketin kendi aracında kimlik bilgisi sızdığı iddiası, güvenlik anlatısıyla pek uyuşmuyor.

Türkiye'de durum ne?

Türkiye'de Claude Code'u iş makinesinde kullanan ekipler için iddia, yapay zekâ kodlama araçlarının aynı zamanda birer ağ istemcisi olduğunu hatırlatıyor. E-posta adresi KVKK kapsamında kişisel veri; onu açık bir hukuki dayanak olmadan üçüncü taraf sitelere yayan bir araç, sadece can sıkıcı değil aynı zamanda uyum sorunu. Yurt dışına veri aktarımı söz konusu olduğunda bu tablo daha da dikkat gerektiriyor.

Anthropic'ten doğrulanmış bir düzeltme ya da resmi açıklama henüz yok. O gelene kadar Claude Code'u ağ erişimi olan her uygulama gibi ele alın: denetleyin, kısıtlayın veya hassas iş yapan makinelerden kaldırın. Türkiye'deki ekipler için pratik adım, aracı çalıştıran makinelerin giden trafiğini izlemek ve şirket e-posta adreslerinin bu tür başlıklarda görünüp görünmediğini kontrol etmek.

Anthropic kendini 'dikkatli yapay zekâ şirketi' olarak konumlandırıyor. Doğrulanmamış da olsa böyle bir kayıt, bu itibarı en çok önem verdiği yerde sınıyor: geliştiricilerin kendi makinelerinde çalıştırdığı araçlarda. Açık ve net bir kamuoyu yanıtı bu güveni geri kazanmaya ciddi katkı sağlar.