Unos desarrolladores han descubierto que Claude Code escribe el correo de inicio de sesión del usuario en la cabecera User-Agent de sus peticiones de red y lo envía a los sitios de terceros que visita. El 5 de noviembre, el usuario taylor-edwards presentó un informe de problema en el repositorio de GitHub de Claude Code: dijo que por esa causa recibe a diario una avalancha de correos fraudulentos y que su empresa pasará a la combinación de Pi y OpenRouter.
Quien informó usa la versión 2.1.318 en macOS. En un solo día, el informe acumuló casi 90 comentarios y más de 600 votos positivos.
Cómo se escapó el correo
Según empleados de Anthropic y los comentarios, el origen es un cambio aparentemente inofensivo: para que el modelo no se invente nombres de autor en campos como author de los comentarios de código, Claude Code puso en el contexto del modelo el correo de la cuenta con la sesión iniciada.
Cuando el modelo escribe por su cuenta un comando curl para descargar una página, trata ese correo como dirección de contacto y lo mete en el User-Agent. Algunos sitios sí exigen que los clientes de scripts dejen un correo de contacto en el UA, Wikipedia es un ejemplo; el modelo siguió esa costumbre, y el resultado fue que el correo del usuario llegó a cualquier sitio por el que pasara.
Lydia Hallie, de Anthropic, respondió:
"We're removing the account email address from the context Claude Code gives the model."
(Estamos eliminando la dirección de correo de la cuenta del contexto que Claude Code da al modelo.)
También escribió "this should not have happened, and we should've caught this behavior earlier." y dijo que el cambio llegará en la próxima versión, prevista para principios de la semana que viene. Al cierre de esta nota, esa versión no se había publicado y el informe seguía abierto.
La cronología, paso a paso
El asunto lleva meses arrastrándose. Según los comentarios y la prensa:
- Julio: en GitHub ya había una issue con el número 81138, y los comentaristas creen que describe el mismo comportamiento;
- Versión 2.1.317: Claude Code incorporó un plugin de privacidad llamado cc-plugin-privacy, activado por defecto, que pregunta al usuario antes de ejecutar llamadas a herramientas web o comandos curl con correo;
- 5 de noviembre: aparece el nuevo informe, ya con la 2.1.318, y el correo se envía igualmente;
- Después: la postura oficial es retirar por completo el correo del contexto.
Entre el primer informe de julio y el pronunciamiento oficial de noviembre pasaron algo más de tres meses. El parche intermedio apostó por añadir una barrera a la salida, pero el problema está en la entrada: mientras el correo siga en el contexto, el modelo puede sacarlo por otras vías. La prensa señala que el plugin no controla el caso en que Claude escribe un script y lo ejecuta; en los comentarios también hay usuarios que dicen que el plugin ni siquiera aparece en el menú /plugins, o que figura como cargado y los comandos con correo se ejecutan igual. Por ahora no se puede verificar nada de esto, y la empresa no ha respondido sobre los casos concretos en que el plugin falla.
Otro detalle es el canal de versiones. Según las informaciones, el canal estable seguía entonces en la 2.1.311, sin siquiera esa barrera de confirmación, de modo que quienes usan la versión estable tienen que actualizar a mano para obtener el plugin.
Qué se puede hacer ahora
La comunidad propone dos soluciones provisionales: usar un hook pre-tool-use para interceptar los comandos que contengan a la vez el correo de la cuenta y un parámetro User-Agent; o indicar en CLAUDE.md que el correo solo puede aparecer en peticiones a dominios concretos. Un desarrollador ya ha incorporado la primera a su repositorio de configuración.
Para los usuarios de equipos, el alcance depende de la cuenta con la que se inicia sesión. Quien entra con el correo de la empresa filtra su correo de trabajo, y los correos de phishing llegarán directamente a la bandeja corporativa. Qué sitios recibieron esos UA y cuánto tiempo conservan los registros de sus servidores depende de esos propios sitios; Anthropic no puede retirarlos en nombre de los usuarios.
Fuentes: informe de problema de Claude Code en GitHub, CocoLoop, AI Chat Daily, Trending Topics; los números de versión afectados y la descripción del plugin de privacidad se contrastaron con el informe, y las declaraciones de empleados de Anthropic se rigen por sus respuestas públicas.