L’e-mail di Claude Code nello User-Agent è un fallimento della privacy di default

Daresti il tuo indirizzo e-mail a ogni sito che il tuo assistente legge per te? Nessuno direbbe di sì. Eppure, secondo una segnalazione di bug, è ciò che ha fatto Claude Code, e i dettagli contano meno dell’istinto progettuale che c’è dietro.

Cos’è successo, in breve

Il 5 novembre uno sviluppatore ha aperto la issue #107757 su GitHub su Claude Code. Chi l’ha aperta sostiene che Claude Code abbia rivelato la sua e-mail a terze parti qualsiasi nell’header di richiesta User-Agent durante le ricerche web, e che ora riceva decine di e-mail truffa al giorno. Secondo AI Weekly Malaysia, la segnalazione riguarda la versione 2.1.318 su macOS, e l’autore sta spostando la sua azienda su Pi con OpenRouter. La storia si è diffusa in fretta: secondo clauding.de, la issue ha raggiunto 687 punti su Hacker News nel giro di poche ore.

Sulla correzione, la documentazione è più scarsa e in parte contraddittoria. StartupHub.ai riferisce che la risposta di Anthropic è un’opzione chiamata cc-plugin-privacy in /plugins, attiva di default nella versione 2.1.317. Quel numero è inferiore a quello della segnalazione, quindi con ciò che abbiamo non possiamo dire quali build siano interessate. Non abbiamo visto nemmeno una dichiarazione ufficiale di Anthropic. I dettagli vanno considerati ancora incerti. Inoltre, il nesso con le e-mail truffa è un’affermazione di chi ha segnalato il problema, non qualcosa che possiamo verificare.

Un identificatore in un header è una decisione, non un incidente

Le stringhe User-Agent servono a dire a un server quale software sta bussando. Metterci dentro un’e-mail personale trasforma un’etichetta tecnica in un marcatore di tracciamento. Comunque ci sia arrivata, ci sembra che qualcuno abbia dovuto decidere che dovesse far parte del traffico in uscita.

A nostro avviso è questo il fallimento. Non il fatto che sia sfuggito un bug, perché i bug capitano. Il fallimento è che dati identificativi si trovassero sul percorso predefinito verso internet. Un’impostazione di default rispettosa della privacy sarebbe l’opposto: l’agente non invia nulla che identifichi l’utente, a meno che sia lui ad attivarlo. Se un fornitore ha un buon motivo per inviare un identificatore, come la prevenzione degli abusi o l’attribuzione, può chiederlo una volta, in modo chiaro, e spiegare chi lo riceve.

Gli agenti di programmazione peggiorano le cose rispetto a una normale app. Un browser ti avvisa quando visiti un sito. Un agente scarica pagine per conto proprio, molte, nel mezzo di un compito che hai descritto in una frase. Non vedi le richieste, quindi non puoi opporti. Il silenzio è l’esperienza di default, ed è proprio per questo che i default devono essere prudenti.

La mancanza di trasparenza è la lacuna più grande

Anche se l’opzione risolve questo caso, resta la domanda: cos’altro trasmettono gli agenti? Nomi host, dettagli della macchina, percorsi dei progetti, identificatori di sessione? Non lo sappiamo e, per la maggior parte degli strumenti, nemmeno gli utenti. È questo il vero problema.

L’ecosistema sta già reagendo. Il progetto open source Stroq dice di poter analizzare le tue sessioni passate di Claude Code e Codex e mostrare quali chiavi hanno lasciato la tua macchina, oltre a bloccare le chiamate in uscita che contengono segreti noti. Per noi è un buon segno che qualcuno costruisca strumenti simili, e un cattivo segno che servano. Gli utenti non dovrebbero dover controllare il proprio assistente con uno script di terze parti per sapere cosa invia.

Cosa ci devono i fornitori e cosa puoi fare tu

La nostra raccomandazione ai fornitori è semplice. Primo, identificatori disattivati di default e attivabili solo con una richiesta chiara. Secondo, un elenco pubblicato e versionato di ciò che l’agente invia al di fuori dell’API del modello, inclusi gli header delle richieste web. Terzo, un changelog che dica chiaramente quando questo elenco cambia. Nulla di tutto ciò è esotico, e un’azienda che vende uno strumento a cui le persone affidano codice e credenziali può permetterselo.

Per gli utenti, i passi pratici sono modesti. Aggiorna all’ultima versione, controlla l’impostazione di privacy dei plugin citata sopra e leggi la discussione della issue prima di dare per scontato di essere al sicuro. Se il tuo indirizzo è esposto, aspettati più spam e comportati di conseguenza. Se lavori in un’azienda, chiedi al team di sicurezza di verificare cosa inviano i vostri agenti prima che lo faccia il prossimo incidente.

La lezione va oltre un singolo fornitore. Anthropic è tutt’altro che l’unica a creare agenti che agiscono per nostro conto, e tutti affrontano la stessa tentazione di inviare un po’ più del necessario. Identificatori opt-in e trasparenza onesta dovrebbero essere il minimo. Qualunque cosa in meno chiede agli utenti di fidarsi in partenza, e la fiducia è l’unica cosa che un agente non dovrebbe dare per scontata.