你用的Claude Code，正把你的邮箱发给外面。据安全内参 11 月 8 日转述新智元的报道，Claude Code会在后台把用户的真实登录邮箱、姓名，甚至公司内部代码库地址，写进请求的 User-Agent 头里，随请求一起发给外部网络。你以为是机器在对服务器说「我是 Claude Code 客户端」，实际上它把你的工牌一并递了过去。

第二层更麻烦。CSA 引用 Apiiro 的扫描结果：GitHub 上 104,185 个公开的 .claude 设置文件里，1,122 个含有明文密钥，合计 1,379 个，包括 379 个数据库密码、43 个服务器 SSH 登录、23 个 AWS 密钥。根源是你在权限弹窗里点了「永久允许」，它就把整条命令原样写进 settings.local.json，命令里带的密码、token 也一起明文存下。它自带的保护，只是把这个文件加进你本地的 git 忽略，管不住已经推上去的那一份。有一半受影响的仓库里，这个文件至少躺了 217 天。它不是 Claude Code 一家的毛病，是所有「帮你干活」的 agent 的通病。它得拿到权限才能干活，拿到权限，就能顺手把东西带出门。你给它钥匙开门，它可能顺手配了一把。

企业上 AI 编程，其实最该问的不是模型跑分多高，而是这三件事：它拿走了什么，发给了谁，留没留痕。这三条不清楚，再强的模型也是把没上锁的钥匙。现在能做的很具体：把工具升到最新版；翻一遍项目里的 .claude/settings.local.json，看有没有明文密码；把 API key 和 token 从配置文件挪到环境变量；再扫一遍 git 历史，别只看当前文件。AI 帮你写代码的代价，可能是它顺手把你的钥匙也配了一把。