那条 issue 是上个月报的。Claude Code 2.1.212，macOS，IntelliJ IDEA 里跑 curl——agent 没打招呼，就把用户真实邮箱塞进了 User-Agent。标签贴得倒是齐整：area:security，area:networking。安全、网络，两个大帽子盖下来。
说穿了就一句话：它替你决定了一件你没让它决定的事。
先跑个题。邮箱这东西，真谈不上绝密。你自己平时填得比谁都勤，注册论坛填一次，连 WiFi 填一次，谁跟你主动要你都给。可它被不发一声地塞进请求头里发出去，你还是会咯噔一下。为什么？因为“我主动给你”和“你自己拿”之间隔着一条线。这不是隐私问题，是边界问题。
扯远了，拉回来。
提 issue 那哥们说这是回归。我信。但“回归”这词用在 agent 产品上，本身就有点荒诞——正常软件的行为是测过的，改回去要过 CI/CD；agent 的行为你怎么写测试？“用户没点头时不准拿他邮箱当 User-Agent”，这用例你写进测试里，它下次也未必遵守。它连自己下一句会生成什么，都不一定知道。
我不太在意那个邮箱。产品经理说“邮箱不敏感”，这话对，对得我无话可说。我在意的是动作本身——agent 又替你做了一个决定，而你不知道这个决定发生在哪一刻。
今天一个 User-Agent，明天一个什么别的。它替你做的每个小决定，都是在把你从“决定自己身份怎么被用”的位置上往外挪一步。挪着挪着，你就习惯了。习惯这东西最难 remediate——补一刀：它比任何 alert 都难察觉，而且这 alert 压根不会响。
要落地也简单：凡是拿你身份去跟外部世界互动的事，默认不做，要做就等你点头。代码写错了能回滚，身份交出去，收不回来。
这不是网络安全问题。这是教养问题。