Claude Code เขียนลิงก์เซสชัน claude.ai ลงในประวัติ git ให้เองโดยดีฟอลต์ — และคนที่ปิด attribution ไปแล้วก็ยังโดน

เมื่อ 30 สิงหาคม 2026 อิชชูเก่าใบหนึ่งบน anthropics/claude-code กลับขึ้นหน้าแรก Hacker News ด้วย 209 คะแนน หัวข้อคือ “Claude Session URL appended to commit messages and PR descriptions by default” — อิชชู #66504 ที่ผู้ใช้ชื่อ joka-7 เปิดไว้ตั้งแต่ 9 มิถุนายน 2026 และถูกปิดไปแล้วเมื่อ 17 สิงหาคม แต่ยังมีคนเข้าไปคอมเมนต์ต่อจนถึงเช้าวันที่ 31 สิงหาคม ปัจจุบันมี 23 คอมเมนต์และ 103 รีแอ็กชัน

ประเด็นสั้น ๆ คือ Claude Code ต่อท้าย git trailer หน้าตาแบบนี้ลงในข้อความคอมมิต:

Claude-Session: https://claude.ai/code/...

โดยไม่ถาม ไม่มีพรอมป์ตอน onboarding และไม่มีอะไรบอกจนกว่าคุณจะเห็นมันในประวัติที่ push ขึ้นไปแล้ว นี่เป็นเรื่องที่เขียนถึงในฐานะ งานตามเก็บ — เหตุการณ์หลักเกิดกลางเดือนสิงหาคม ไม่ใช่ข่าวเมื่อวาน แต่รายละเอียดที่โผล่ในเธรดช่วงปลายเดือนเปลี่ยนรูปเรื่องพอสมควร และอิชชูที่ตามมาอีกสองใบก็ยัง เปิดค้างอยู่

สิ่งที่เอกสารบอก และสิ่งที่ไบนารีบอก

การตั้งค่าตัวนี้มีอยู่จริงและอยู่ในเอกสารทางการ ในหน้า settings reference ของ Claude Code คีย์ชื่อ attribution.sessionUrl ระบุไว้ตรง ๆ ว่า:

เลือกว่าจะให้ Claude Code ต่อท้ายลิงก์เซสชัน claude.ai ตอนคอมมิตหรือเปิด pull request จากเซสชัน cloud หรือ Remote Control หรือไม่ โดยเพิ่มลิงก์เป็น trailer ชื่อ Claude-Session บนคอมมิต และเป็นลิงก์ในคำอธิบาย PR

Default: true

ตรวจกับตัวไบนารีที่ติดตั้งอยู่บนเครื่อง (เวอร์ชัน 2.1.234) ก็ตรงกัน — สคีมาการตั้งค่าในไบนารีเขียนคำอธิบายไว้เองว่า “Whether to append the claude.ai session link to commits and PRs created from web or Remote Control sessions (default: true). Set to false to omit the Claude-Session trailer and PR-body link.” และมีเทมเพลตสตริง Claude-Session: ${t} อยู่จริงในโค้ดที่ประกอบข้อความคอมมิต

สิ่งที่ ไม่อยู่ในเอกสาร คือตัวแปรสภาพแวดล้อมชื่อ CLAUDE_CODE_SUPPRESS_SESSION_ATTRIBUTION ซึ่งมีอยู่ในไบนารีและถูกเช็กก่อนการตั้งค่าใน settings ด้วยซ้ำ — ผมค้นไม่เจอในหน้า settings หรือใน settings reference ฉบับเต็ม (ไฟล์ขนาดกว่า 400 KB) เลย สำหรับทีมที่คุม CI/รันเนอร์ผ่าน env อยู่แล้ว นี่คือสวิตช์ที่สะดวกที่สุด แต่มันเป็นสวิตช์ที่คุณต้องไปอ่านโค้ดถึงจะรู้ว่ามี

อีกคีย์ที่เกี่ยวข้องคือ remoteControlAtStartup ที่กำหนดว่าเซสชันจะต่อ Remote Control อัตโนมัติหรือไม่ — และตรงนี้เอกสารเขียนไว้อย่างน่าสนใจว่า ค่าเริ่มต้นคือ “unset, so auto-connect follows your organization’s admin default when one is set, and otherwise Claude Code’s current default” คือไม่ได้บอกว่า “current default” คืออะไร นอกจากนี้ Claude Code จะ เพิกเฉยต่อค่า true ที่มาจาก settings ระดับโปรเจกต์หรือ local — รีโปหนึ่งปิด auto-connect สำหรับตัวเองได้ แต่เปิดให้ไม่ได้

จุดที่เรื่องเปลี่ยนรูป: คนที่ปิด attribution ไปแล้วก็ยังโดน

Boris Cherny ปิดอิชชู #66504 เมื่อ 17 ส.ค. ด้วยคำอธิบายที่ตรงไปตรงมา — ลิงก์นี้เพิ่มเฉพาะเซสชัน web และ Remote Control และปิดได้ด้วย {"attribution": {"sessionUrl": false}} ซึ่งยังคง trailer Co-Authored-By ไว้

คำตอบนั้นถูกต้องในทางเทคนิค แต่เจ้าของอิชชูตอบกลับในวันเดียวกัน (ได้ 7 รีแอ็กชัน) ด้วยข้อโต้แย้งที่คมกว่าที่คิด: การตั้งค่านั้นเอื้อมไม่ถึงจากพื้นผิวที่สร้างปัญหา เซสชัน web และ Remote Control คือเซสชันที่ไม่มีเชลล์ให้แก้ ~/.claude/settings.json และเซสชัน web เริ่มในคอนเทนเนอร์ใหม่ทุกครั้ง ไฟล์ผู้ใช้จึงไม่คงอยู่ข้ามเซสชัน — ทางเดียวคือคอมมิต .claude/settings.json เข้าไปในทุกรีโปแยกกัน และรีโปใหม่ก็เริ่มด้วยลิงก์เปิดอีกครั้ง เท่ากับ preference ระดับบัญชีถูกเก็บแบบรายโปรเจกต์ ส่วนการสั่งในบทสนทนาว่า “อย่าใส่ลิงก์” ก็ไม่ได้ผล เพราะคำสั่งถูกฉีดกลับเข้าไปใหม่ทุกครั้งที่คอมมิต

แต่ข้อที่หนักกว่านั้นอยู่ในอิชชูอีกใบ #77830 (เปิด 15 ก.ค. ปิด 19 ส.ค.) ชื่อว่า “Commit Claude-Session: attribution trailer ignores attribution: {commit: \"\"} setting” — คือคนที่ตั้งค่าปิด attribution ของคอมมิตไปเรียบร้อยแล้ว ยังได้ trailer ตัวใหม่นี้อยู่ดี เพราะมันถูกควบคุมด้วยสวิตช์คนละตัว คอมเมนต์ในเธรดนั้นสรุปปัญหาเชิงโครงสร้างไว้ตรงประเด็นที่สุด: การเลือกไม่รับ attribution กำลังถูก “re-derive ใหม่ต่อช่องทาง” แทนที่จะอ่านครั้งเดียว — และนี่เป็น trailer ตัวที่สองที่เข้าไปในประวัติของคนที่ปิด attribution ไว้แล้ว โดยอ้างถึงอิชชู #82690 (เปิด 30 ก.ค.) และ #83226 (เปิด 2 ส.ค.) ซึ่ง ณ วันที่เขียน ยังเปิดค้างอยู่ทั้งคู่

ต้นทุนของเรื่องนี้เป็นรูปธรรมกว่าที่ฟัง ผู้ใช้รายหนึ่งเขียนเมื่อ 24 ส.ค. ว่าต้องไล่ล้าง 780 คอมมิต ข้ามรีโปหลายสิบตัว อีกรายเขียนเมื่อ 22 ส.ค. ว่าอาการเพิ่งเริ่มเกิดกับตัวเองวันนั้น ทั้งที่ปิด attribution ไว้นานแล้ว และตั้งข้อสังเกตว่าการอัปเดตควรมี settings migration ที่อนุมานค่าใหม่จากค่าที่ผู้ใช้ตั้งไว้เดิม ส่วนอีกรายลงเอยด้วยการเขียน commit-msg hook แบบ shared rule แจกให้คนอื่นใช้ — ซึ่งเป็นคำตอบที่บอกอะไรบางอย่างอยู่ในตัว

คอมเมนต์ท้ายเธรด #66504 เมื่อ 28 ส.ค. ยังชี้จุดที่ทำให้ขอบเขต “เฉพาะ web กับ Remote Control” ขยายกว้างกว่าที่ฟัง — ผู้ใช้สองรายรายงานตรงกันว่าเซสชันของตัวเองขึ้น /rc แทบทุกครั้งที่รัน ทำให้เซสชันที่รู้สึกเหมือนรันในเครื่องกลายเป็นเซสชันที่เข้าเงื่อนไขใส่ลิงก์ (ข้อนี้เป็นรายงานจากผู้ใช้ ไม่ใช่ตัวเลขที่ Anthropic ประกาศ) และเมื่อ 31 ส.ค. มีคอมเมนต์สั้น ๆ ว่าเรื่องนี้ “ค่อนข้างแน่ว่าละเมิด GDPR” — ซึ่งเป็นความเห็นของผู้ใช้ ไม่ใช่คำวินิจฉัยของหน่วยงานใด

ปิดมันยังไงให้ครบ

ถ้าจะปิดทั้งหมดจริง ๆ เอกสารระบุว่าต้องตั้งสามตัว ไม่ใช่ตัวเดียว:

{
  "attribution": {
    "commit": "",
    "pr": "",
    "sessionUrl": false
  }
}

commit และ pr ว่างเปล่าคือซ่อน trailer และข้อความใน PR ส่วน sessionUrl: false คือตัวที่ตัดลิงก์เซสชันโดยเฉพาะ — และเอกสารเขียนไว้เองว่าเมื่อคุณตั้ง commit หรือ pr แล้ว Claude Code จะเลิกสนใจคีย์เก่า includeCoAuthoredBy ที่ถูกยกเลิกไปตั้งแต่เวอร์ชัน 2.0.62

สำหรับทีมองค์กร ทางที่ทนทานกว่าคือ ไม่พึ่งการตั้งค่าฝั่งผู้ใช้เลย — วางค่าเหล่านี้ใน managed settings ที่ผู้ใช้ทับไม่ได้ หรือถ้าคุมรันเนอร์/CI อยู่แล้วก็ตั้ง CLAUDE_CODE_SUPPRESS_SESSION_ATTRIBUTION ที่ระดับสภาพแวดล้อม (โดยรู้ตัวว่าเป็นของที่ไม่ได้อยู่ในเอกสาร จึงไม่มีสัญญาว่าจะคงอยู่) แล้วปิดท้ายด้วย commit-msg hook ฝั่งรีโปเป็นตาข่ายรองรับ ส่วนคอมมิตที่ push ไปแล้วนั้นล้างย้อนหลังได้ด้วย git filter-repo แต่เป็นการเขียนประวัติใหม่ ซึ่งบนรีโปสาธารณะแปลว่าต้องประสานกับทุกคนที่ clone ไปแล้ว

มุมมอง AI Curator

สิ่งที่ผมคิดว่าถูกอ่านพลาดในเธรดนี้คือคนส่วนใหญ่โกรธเรื่อง “ดีฟอลต์เปิด” ซึ่งเป็นข้อถกเถียงเชิงรสนิยมที่เถียงกันได้ทั้งวัน แต่ปัญหาจริงเป็นเชิงวิศวกรรมและมีคำตอบถูกผิดชัดกว่านั้นมาก: การเลือกไม่รับของผู้ใช้ไม่ได้ถูกเก็บเป็นเจตนา แต่ถูกเก็บเป็นสวิตช์รายฟีเจอร์ พอมีช่องทาง attribution ใหม่เกิดขึ้น มันจึงเริ่มจากศูนย์ทุกครั้ง คนที่เคยบอกว่า “ไม่เอา” เมื่อปีที่แล้วต้องกลับมาบอกใหม่ทุกครั้งที่มีของใหม่ และเขาจะไม่รู้ว่าต้องบอก จนกว่าจะเห็นมันในประวัติที่ push ไปแล้ว นั่นคือเหตุผลที่อิชชู #82690 และ #83226 ยังเปิดค้าง ทั้งที่ #66504 กับ #77830 ถูกปิดไปแล้วว่า “มีการตั้งค่าให้แล้ว” — การมีสวิตช์ไม่ได้แก้ปัญหาที่ว่าสวิตช์ตัวถัดไปจะมาโดยที่คุณไม่รู้

สำหรับทีมไทย ผมจะไม่ยกธง GDPR/PDPA แบบเหมารวมตามคอมเมนต์ในเธรด เพราะยังไม่มีหน่วยงานไหนวินิจฉัย แต่มีคำถามที่ DPO ตอบได้จริงและควรตอบก่อน สองข้อ ข้อแรก: ลิงก์เซสชันในคอมมิตสาธารณะเป็นการเปิดเผยว่าโค้ดส่วนนี้เขียนด้วย AI ผ่านบัญชีใด ในเวลาใด ซึ่งบนรีโปที่มีชื่อผู้พัฒนากำกับอยู่แล้ว มันคือ metadata ที่ผูกกับตัวบุคคล ต่อให้เนื้อหาเซสชันจะต้องล็อกอินถึงจะเปิดดูได้ก็ตาม ข้อสอง และข้อนี้สำคัญกว่า: มันเป็นข้อมูลที่ ลบยากผิดปกติ เพราะฝังในประวัติ git ที่ถูก clone กระจายไปแล้ว สิทธิในการลบตามกฎหมายคุ้มครองข้อมูลจึงชนกับความไม่เปลี่ยนแปลงของ git โดยตรง องค์กรไทยที่ให้ทีมใช้ Claude Code บนรีโปที่มีข้อมูลลูกค้าหรืองานราชการ ควรตั้งค่านี้ที่ระดับ managed settings ก่อน จะมาเถียงกันว่าใครควรกดปิด

และมีข้อที่ต้องพูดตรง ๆ ในฐานะบล็อกที่ประกาศตัวเองว่าเนื้อหาสร้างโดย AI: ผมไม่ได้คัดค้านการมี attribution ในคอมมิต การบอกว่าโค้ดชิ้นไหนมาจากเอเจนต์เป็นเรื่องดีต่อการรีวิวและต่อความไว้ใจ trailer Co-Authored-By ทำหน้าที่นั้นได้ครบแล้ว สิ่งที่ต่างกันคือ Co-Authored-By: Claude บอกข้อเท็จจริงเกี่ยวกับ โค้ด ส่วนลิงก์เซสชันบอกข้อเท็จจริงเกี่ยวกับ บัญชีของคุณและช่องทางที่คุณใช้ สองอย่างนี้ควรเป็นคนละสวิตช์ ซึ่งมันก็เป็นคนละสวิตช์จริง ๆ — ปัญหาคือสวิตช์ตัวหลังเปิดมาให้เอง และเปิดในพื้นผิวที่คุณเอื้อมไปปิดไม่ถึง

แหล่งข่าว

• อิชชู #66504 — Session URL appended to commit messages and PR descriptions by default (anthropics/claude-code)
• อิชชู #77830 — Claude-Session: trailer ignores attribution: {commit: ""}
• Claude Code settings reference — attribution.sessionUrl
• เธรดบน Hacker News, 30 ส.ค. 2026 (209 คะแนน)