Una persona que usa Claude Code, la herramienta de línea de comandos de Anthropic, abrió el 5 de noviembre de 2026 un informe que describe el envío del correo de la cuenta en la cabecera User-Agent de ciertas peticiones web disparadas por el agente. Un colaborador del proyecto confirma una corrección publicada en la versión 2.1.317, aunque varios comentarios indican que no cubre todos los casos.
El informe: un correo transmitido sin consentimiento
El informe, registrado con el número 107757 en el repositorio de GitHub anthropics/claude-code, describe una cabecera User-Agent que contiene el correo de la cuenta durante búsquedas web realizadas por el agente. El autor señala un riesgo concreto: cualquier petición saliente expone la dirección a sitios terceros, con un efecto directo sobre el spam y el phishing dirigido. Pide eliminar directamente el comportamiento, sin opción que activar manualmente. El caso recuerda otro episodio reciente en Postman, donde se instalaron plugins de agentes de IA sin consentimiento claro.
GET /search?q=... HTTP/1.1
Host: example.com
User-Agent: ClaudeCode/2.1.311 (contact: [email protected])La respuesta de Anthropic: un mod de privacidad activado por defecto
Según un comentario dejado en el informe, un mod integrado llamado cc-plugin-privacy se añadió en la versión 2.1.317 para bloquear la inclusión del correo en las cabeceras salientes. Está activado por defecto y puede desactivarse desde el comando /plugins. Según el mismo hilo, la dirección se había añadido al contexto transmitido al modelo para reducir las alucinaciones de nombres, por ejemplo en etiquetas @author generadas automáticamente, antes de acabar a veces copiada en la cabecera de red. Anthropic ya había empezado a formalizar la gobernanza de sus herramientas de agentes al confiar ciertos estándares a la Agentic AI Foundation.
Límites ya constatados
El mod no cubre todos los casos de uso: varios comentarios señalan que permanece inoperante cuando el agente escribe y ejecuta él mismo un script de red, fuera de las llamadas gestionadas directamente por el harness. Un usuario informa que en la versión 2.1.318, una prueba sencilla con una cabecera User-Agent y un correo no fue bloqueada pese a que el mod aparecía como activo. Otro afirma que su dirección se envió efectivamente a dominios terceros en esa misma versión. Un comentario anterior remite a un informe similar abierto cinco meses antes, que quedó sin corrección definitiva hasta este nuevo aviso. Tampoco es el primer incidente de seguridad que afecta al ecosistema de la herramienta: una extensión de Claude Code manipulada en el Cursor Marketplace ya había instalado una puerta trasera SSH a finales de octubre.
| Fecha | Versión | Evento |
|---|---|---|
| Junio de 2026 (aprox.) | — | Primer informe (#81138) sobre un comportamiento similar |
| 5 de noviembre de 2026 | 2.1.311 (estable) | Apertura del informe #107757 |
| 5 de noviembre de 2026 | 2.1.317 | Añadido el mod cc-plugin-privacy, activado por defecto |
| Después del 5 de noviembre de 2026 | 2.1.318 | Casos en los que el mod no bloquea el envío |
El mod de privacidad añadido en la versión 2.1.317 está activado por defecto, pero no cubre los scripts de red que el agente escribe y ejecuta por su cuenta.
El informe sigue abierto en el momento de la redacción: no hay ninguna pull request vinculada y el código del mod no se ha publicado por separado. Los equipos que usan Claude Code en línea de comandos deberían revisar la versión instalada y auditar las cabeceras salientes de sus propios scripts, en lugar de confiar únicamente en el mod por defecto.
Lo que hay que recordar
El incidente ilustra un riesgo propio de los agentes de código: una información añadida al contexto del modelo por un motivo concreto, evitar inventar un nombre de autor, puede resurgir en un lugar imprevisto, en este caso una cabecera de red visible para cualquier sitio contactado por el agente. La corrección anunciada reduce la exposición por defecto, pero los informes de usuarios posteriores a ella muestran que no cubre todas las rutas de ejecución.
Este tipo de fuga recuerda por qué conviene no confiar nunca a ciegas en las cabeceras de red que envía un agente, sea Claude Code u otro de la competencia: el contexto proporcionado al modelo para una tarea puede acabar copiado en otro lugar, sin intención maliciosa del editor. Mientras llega una corrección más completa, vigilar el tráfico saliente de un agente en un proyecto sensible sigue siendo una precaución razonable, al mismo nivel que auditar una extensión de terceros. — Simon Janvier
Para saber más
Fuente: el informe de GitHub anthropics/claude-code #107757.
