El correo de Claude Code en el User-Agent es un fallo de privacidad por defecto

¿Le darías tu dirección de correo a todas las webs que tu asistente lee por ti? Nadie diría que sí. Sin embargo, es lo que, según un informe de error, hizo Claude Code, y los detalles importan menos que el instinto de diseño que hay detrás.

Qué ha pasado, en breve

El 5 de noviembre, un desarrollador abrió la incidencia #107757 de GitHub sobre Claude Code. Quien la presenta asegura que Claude Code reveló su correo a terceros arbitrarios en la cabecera de petición User-Agent durante las búsquedas web, y que ahora recibe decenas de correos fraudulentos al día. Según AI Weekly Malaysia, el informe se presentó contra la versión 2.1.318 en macOS, y el autor va a migrar su empresa a Pi con OpenRouter. La historia se extendió rápido: clauding.de cuenta que la incidencia llegó a 687 puntos en Hacker News en cuestión de horas.

Sobre la solución, la documentación es más escasa y en parte contradictoria. StartupHub.ai afirma que la respuesta de Anthropic es un interruptor llamado cc-plugin-privacy en /plugins, activado por defecto en la versión 2.1.317. Ese número es inferior al del informe, así que con lo que tenemos no podemos saber qué compilaciones están afectadas. Tampoco hemos visto un comunicado oficial de Anthropic. Conviene tomar los detalles con cautela. Además, que los correos fraudulentos se deban a esto es una afirmación del autor del informe, no algo que podamos comprobar.

Un identificador en una cabecera es una decisión, no un accidente

Las cadenas User-Agent existen para decirle a un servidor qué software está llamando a la puerta. Meter ahí un correo personal convierte una etiqueta técnica en una baliza de seguimiento. Sea como sea que llegara hasta ahí, nos parece que alguien tuvo que decidir que debía formar parte del tráfico saliente.

Nuestra opinión es que ese es el fallo. No que se colara un error, porque los errores ocurren. El fallo es que unos datos que identifican al usuario estaban en la ruta por defecto hacia internet. Una configuración respetuosa con la privacidad sería la contraria: el agente no envía nada que identifique al usuario salvo que este lo active. Si un proveedor tiene una buena razón para enviar un identificador, como prevenir abusos o atribuir el uso, puede preguntar una vez, con claridad, y explicar quién lo recibe.

Los agentes de programación agravan el problema respecto a una aplicación normal. Un navegador te avisa cuando entras en una web. Un agente descarga páginas por su cuenta, muchas, en mitad de una tarea que le has descrito en una frase. No ves las peticiones, así que no puedes objetar. El silencio es la experiencia por defecto, y por eso mismo los valores predeterminados tienen que ser conservadores.

La falta de transparencia es la brecha mayor

Aunque el interruptor arregle este caso, la pregunta sigue en pie: ¿qué más transmiten los agentes? ¿Nombres de host, datos del equipo, rutas de proyectos, identificadores de sesión? No lo sabemos y, en la mayoría de las herramientas, los usuarios tampoco. Ese es el verdadero problema.

El ecosistema ya está reaccionando. El proyecto de código abierto Stroq dice que puede analizar tus sesiones anteriores de Claude Code y Codex y mostrar qué claves salieron de tu equipo, y que puede bloquear las llamadas salientes que lleven secretos conocidos. Nos parece buena señal que alguien construya estas herramientas y mala señal que hagan falta. Los usuarios no deberían tener que auditar su propio asistente con un script de terceros para saber qué envía.

Lo que nos deben los proveedores y lo que puedes hacer tú

Nuestra recomendación a los proveedores es sencilla. Primero, identificadores desactivados por defecto y activables con un aviso claro. Segundo, una lista publicada y versionada de lo que el agente envía fuera de la API del modelo, incluidas las cabeceras de las descargas web. Tercero, un registro de cambios que diga sin rodeos cuándo varía esa lista. Nada de esto es exótico, y una empresa que vende una herramienta en la que la gente confía su código y sus credenciales puede permitírselo.

Para los usuarios, los pasos prácticos son modestos. Actualiza a la última versión, revisa el ajuste de privacidad de los plugins mencionado arriba y lee el hilo de la incidencia antes de dar por hecho que estás a salvo. Si tu dirección ha quedado expuesta, espera más spam y actúa en consecuencia. Si trabajas en una empresa, pide a tu equipo de seguridad que revise qué envían vuestros agentes antes de que lo haga el próximo incidente.

La lección va más allá de un solo proveedor. Anthropic no es la única que crea agentes que actúan en nuestro nombre, y todos afrontan la misma tentación de enviar un poco más de lo necesario. Los identificadores opcionales y la transparencia honesta deberían ser el mínimo. Cualquier cosa menos pide a los usuarios que confíen por defecto, y la confianza es lo único que un agente no debería dar por supuesto.