Desenvolvedores descobriram que o Claude Code grava o e-mail de login do usuário no cabeçalho User-Agent das requisições de rede e o envia aos sites de terceiros que acessa. Em 5 de novembro, o usuário taylor-edwards abriu um relatório de problema no repositório do Claude Code no GitHub, dizendo que, por causa disso, recebe todos os dias uma enxurrada de e-mails de golpe e que a empresa dele vai migrar para a combinação Pi mais OpenRouter.
O autor do relatório usa a versão 2.1.318 no macOS. Em um dia, o relatório reuniu quase 90 comentários e mais de 600 curtidas.
Como o e-mail vazou
Segundo funcionários da Anthropic e os comentários, a origem é uma mudança aparentemente inofensiva: para evitar que o modelo invente nomes de autor em campos como author nos comentários de código, o Claude Code passou a colocar no contexto do modelo o e-mail da conta conectada.
Quando o modelo escreve por conta própria um comando curl para buscar uma página, ele trata esse e-mail como endereço de contato e o coloca no User-Agent. Alguns sites de fato exigem que clientes automatizados deixem um e-mail de contato no UA, e a Wikipédia é um exemplo; o modelo seguiu essa convenção, e o resultado foi o e-mail do usuário parar em qualquer site que ele visitasse pelo caminho.
Lydia Hallie, da Anthropic, respondeu:
"We're removing the account email address from the context Claude Code gives the model."
(Estamos removendo o endereço de e-mail da conta do contexto que o Claude Code fornece ao modelo.)
Ela também escreveu "this should not have happened, and we should've caught this behavior earlier." e disse que a correção sairá na próxima versão, prevista para o início da semana que vem. Até o fechamento desta matéria, essa versão não havia sido lançada e o relatório continuava aberto.
A linha do tempo, ponto a ponto
O caso se arrasta há meses. Pelo que os comentários e a imprensa reuniram:
- Julho: já havia no GitHub uma issue de número 81138, e comentaristas acreditam que ela descreve o mesmo comportamento;
- Versão 2.1.317: o Claude Code incorporou um plugin de privacidade chamado cc-plugin-privacy, ativado por padrão, que pergunta ao usuário antes de executar chamadas de ferramentas web ou comandos curl contendo e-mail;
- 5 de novembro: surge o novo relatório, já na versão 2.1.318, e o e-mail continua sendo enviado;
- Depois: a posição oficial é retirar o e-mail por completo do contexto.
Do primeiro relatório, em julho, à manifestação oficial, em novembro, passaram-se pouco mais de três meses. O remendo intermediário apostou em colocar uma trava na saída, mas o problema está na entrada: enquanto o e-mail estiver no contexto, o modelo ainda pode levá-lo para fora de outras maneiras. A imprensa aponta que o plugin não alcança o caso em que o próprio Claude escreve um script e o executa; nos comentários, há também usuários dizendo que o plugin nem aparece no menu /plugins, ou que aparece como carregado e os comandos com e-mail continuam rodando. Esses relatos não podem ser verificados por ora, e a empresa não se pronunciou sobre os casos específicos em que o plugin falha.
Outro detalhe é o canal de distribuição. De acordo com as reportagens, o canal estável ainda estava na 2.1.311, sem sequer a trava de confirmação, e quem usa a versão estável precisa atualizar manualmente para obter o plugin.
O que dá para fazer agora
A comunidade apontou duas soluções provisórias: usar um hook pre-tool-use para interceptar comandos que contenham ao mesmo tempo o e-mail da conta e um parâmetro User-Agent; ou escrever no CLAUDE.md que o e-mail só pode aparecer em requisições para domínios específicos. Um desenvolvedor já incluiu a primeira abordagem no seu repositório de configuração.
Para usuários de equipes, o impacto depende da conta usada no login. Quem entra com o e-mail corporativo expõe o endereço de trabalho, e os e-mails de phishing chegam direto à caixa de entrada da empresa. Quais sites receberam esses UAs e por quanto tempo os logs dos servidores serão guardados está nas mãos dos próprios sites; a Anthropic não tem como recolher isso em nome dos usuários.
Fontes: relatório de problema do Claude Code no GitHub, CocoLoop, AI Chat Daily, Trending Topics; os números de versão afetados e a descrição do plugin de privacidade foram conferidos no relatório, e as declarações de funcionários da Anthropic seguem suas respostas públicas.