標著「私有」也留底：Claude Artifact 重複外洩事件全記錄

一名資安研究者七月初就寫信示警，指出「Artifact」這個按鈕會把使用者的東西悄悄上傳到 Anthropic 的伺服器，卻沒有講清楚——Anthropic 把這份報告標記「不做」。三週後，類似的事真的發生了：這是 Claude 分享功能十個月內第二次把使用者對話送上 Google。

01一個按鈕，兩種意思

Claude Code 的「Artifact」工具，讓使用者可以把一次工作成果變成一個可以直接開啟的網頁，存放在 claude.ai 上。問題出在「Artifact」這個字本身：它既是 Anthropic 這項功能的產品名稱，也是英文裡「產出物、文件」的普通名詞。當 Claude 在對話裡建議「要不要順便做一份 Artifact 版本」時，使用者很容易以為那只是「幫我整理成一份文件」，而不是「把內容上傳到 Anthropic 的伺服器」。

官方文件證實了這個機制確實存在：在自動放行模式（Auto mode）下，發布動作由分類器自動核可，使用者甚至不會看到提示視窗；在一般模式下，提示訊息雖然會出現，但措辭也未必讓人立刻意識到「這是一次網路上傳」。而不論標示私有與否，內容都先落在 Anthropic 的伺服器上——「私有」只代表現在還沒有其他人看得到，不代表資料沒有離開你的電腦。

02已經有人講過：一份被標記「不做」的警告

2026 年 7 月 6 日，GitHub 使用者 eslerm（自述為協同資安揭露的研究者）在 Claude Code 的官方 repo 提出 issue #74928，標題直接點名問題核心：「Artifact 工具在取得同意的當下，沒有揭露資料會外流到 claude.ai；功能名稱又跟一般名詞撞名，誤導了使用者的同意判斷」。

這份回報同時點名了另外兩個相關案例：#72055（使用者的伺服器目錄結構被 Artifact 意外發布成公開網址），以及當時已經開了一年多、始終沒有解決的 #74589（發布後的 Artifact 在 Claude Code 裡刪不掉，只能靠網頁介面手動處理）。回報者建議的修法很具體：把「上傳到 Anthropic 伺服器」講清楚、改名避開一般名詞、預設寫本機檔案而非自動發布、在敏感情境下預設關閉。

Anthropic 對這份回報的處置，是把 issue 標記為 closed as not planned——沒有官方留言回應，狀態欄只掛著一個 stale 標籤。三週後，類似的風險真的以更大規模爆發。

03三週後，真的炸了

2026 年 7 月 25 日，Reddit 使用者 -void1 在 r/ClaudeAI 貼出一則貼文：只要在 Google 打上 site:claude.ai/share，就能搜出大量原本應該是「有連結才看得到」的 Claude 對話與 Artifact。這則貼文迅速在 Reddit 與 X 上被轉發，其他使用者陸續回報找到的內容包括加密貨幣錢包建立過程、法律諮詢、履歷與公司內部討論。

兩天後，同一個板上出現追加貼文，證實外洩不只限於一般對話——連 Artifact 本身也一樣搜得到：使用者 MaN0fy 換了一個搜尋語法 site:claude.ai/public/artifacts，一樣翻出大量結果，貼文標題直接寫「You can also view a lot of shared artifacts.」。這正是本篇報導關切的核心——外洩的不只是聊天記錄，也包括使用者以為只有自己看得到的 Artifact 頁面。

到了週末，404 Media、TechCrunch、VentureBeat 相繼跟進報導，揭露的資料類型擴大到：API 金鑰、加密貨幣私鑰、履歷（含真實姓名與聯絡方式）、疑似社會安全碼、公司內部文件、員工績效評論，以及一份揭露病患姓名、年齡、性別、膚質與治療日期的臨床試驗文件。部分被索引的對話裡，甚至出現國小學童的姓名與電話號碼。

根本原因是 Anthropic 分享頁面的 robots.txt 設定與 noindex 標籤沒有確實生效，讓搜尋引擎爬蟲得以長驅直入公開分享的網址。Anthropic 發言人 Amie Rotherham 向 TechCrunch 回應：公司「把是否公開分享對話的控制權交給使用者」，且「不會主動把聊天目錄或網站地圖交給 Google 這類搜尋引擎」——把責任的重心，放回使用者自己選擇分享這件事上。台灣資安業者則向本地媒體指出，多名可被辨識身分的使用者向 Forbes 否認自己曾經把連結貼到任何公開平台，這削弱了官方說法的完整性。

Anthropic 在週一（7 月 28 日）之前修補了 robots.txt，TechCrunch 測試同一組搜尋語法已經搜不到結果；不過科技新報的報導也指出，Bing 與 Brave 等搜尋引擎當時仍留有快取，並未同步清除。

04這不是第一次，也不是只有 Claude

更值得注意的是，這類「分享功能被搜尋引擎意外索引」的事故，過去一年在主要 AI 聊天平台輪番上演，而 Claude 自己就中過兩次：2025 年 9 月，Google 就已經索引過約 600 則 Claude 對話；不到一年後的 2026 年 7 月，同樣的漏洞路徑再次發生，規模更大。

四宗事故的共同機制幾乎一致：使用者把內容標成「有連結才看得到」，平台卻沒有確實阻擋搜尋引擎爬蟲索引那個網址。「有人指出過這個問題嗎」這個問題，答案是肯定的——不只 eslerm 那份被關閉的 issue，Claude 自己十個月內已經是第二次用同一種方式出包。

05修好了嗎？「私有」跟「刪得掉」是兩回事

7 月的索引外洩，修的是「公開分享的網址不該被搜尋引擎爬到」這一層。但 Ethan 這次撞見的問題——標示私有的 Artifact，一樣會被永久保存在 Anthropic 的伺服器上，且個人版帳號無法真正刪除——至今沒有被正面處理。GitHub issue #74589（2026-07-05 提出，目前仍是 open 狀態）明確記載：Artifact 工具只有「發布」跟「列出」兩個動作，沒有刪除或取消發布選項；唯一的變通做法，是用一份空白頁面覆蓋掉原本的內容，但網址與帳號裡的紀錄項目依然存在。

官方文件也證實了這個落差：「設定保存期限」（Set a retention policy）只開放給 Team／Enterprise 方案的管理員，個人（Pro／Max）帳號完全沒有這個控制項；能真正呼叫刪除 API 的 Compliance API，同樣只服務組織帳號，不對個人使用者開放。換句話說，一般使用者能做的，只有「不要分享」，沒有「徹底清除」。

06台灣看得到什麼

這起事件在台灣的能見度其實不低：自由電子報、數位時代、電腦王阿達、iThome、T客邦、科技新報、TaiSounds 太報等媒體都在事發後一週內跟進報導，普遍提醒使用者自查分享紀錄、撤換外洩的 API 金鑰。這代表台灣使用者不是完全沒被提醒——但提醒的重點，多半停在「檢查你有沒有分享過」，沒有觸及「就算你沒分享，私有副本一樣留在對方伺服器上，你也刪不掉」這一層。

對照台灣現行的《個人資料保護法》，2025 年的修法把外洩通報的門檻大幅提前：企業「一知悉」個資遭竊取、竄改、毀損、滅失或洩漏，就必須立即通報，不再等到「調查完成、確認違法」才通報；未依規定通報，可以直接開罰，不必先給改善機會。修法也把「應採行適當安全措施」的義務（原第 27 條，現移列第 20 條之 1）交由新設的個人資料保護委員會訂定更具體的標準，未來企業就算還沒真的外洩，只要安全措施不符規定，也可能被開罰。

但這套規範管的是「台灣企業如何處理自己蒐集到的個資」，回答不了這次事件真正的問題：當一個台灣使用者把公司內部文件、病患資料或客戶履歷貼進 Claude、請它整理成一份 Artifact，那份資料實質上已經離開了使用者自己的管控範圍，存放進 Anthropic（一家美國公司）在美國的伺服器——這件事本身，落在台灣個資法的規範邊界之外。查證過程中，沒有找到台灣主管機關或媒體針對「AI 工具私有留存副本」這個更底層的機制，做過專門的規範或案例比對；能找到的討論，全部集中在 7 月那波「公開分享被索引」的外洩事故本身。

尾聲「私有」是一個承諾，不是一個保證

回到最初的問題：「難道沒有人指出這個問題嗎？」有。一名資安研究者用一份完整的技術報告指出過，附上真實案例與具體修法建議，換來的是「不會處理」四個字。三週後，類似的風險機制真的釀成大規模外洩，而這已經是 Claude 十個月內第二次犯下同一種錯誤。

「標示私有」是介面上的一個承諾，但這篇報導查到的每一份文件都指向同一件事：那個承諾背後，資料仍然離開了使用者的電腦、進了別人的伺服器，而使用者能做的補救，目前只有「不要分享」，還沒有「徹底刪除」。四個關掉 Artifact 功能的結構性做法（/config、設定檔、環境變數、權限規則）都是現成可用的，只是預設值仍然是「開啟」。

實作教學　怎麼把 Artifact 關掉　四選一

希望所有建構過程都留在本機、不上傳任何一份成果到 claude.ai 的使用者　挑一種做就好　不用四種都設

1

互動選單　最快 — 在 Claude Code 對話框直接打指令　選到 Artifacts 那一列切成關閉

/config

改完立即生效　不用重開 session

2

設定檔　一次管全機 — 打開 ~/.claude/settings.json（沒有就新建一份）加一行

{
  "enableArtifact": false
}

存在專案層 .claude/settings.json 就只管那個專案

3

環境變數　適合排程或無人值守的機器 — 寫進 shell 設定檔（如 ~/.zshrc）

export CLAUDE_CODE_DISABLE_ARTIFACT=1

存檔後要重開一個新的終端機視窗才會套用

4

權限規則　連子代理／背景工兵一起管 — 在 settings.json 的 permissions.deny 陣列加一條

{
  "permissions": {
    "deny": ["Artifact"]
  }
}

這條連派出去的子代理也擋得到　適合多人共用或有敏感資料的環境