E-mail do Claude Code no User-Agent é uma falha de privacidade por padrão

Você daria seu endereço de e-mail a todo site que o seu assistente lê por você? Ninguém diria que sim. Mesmo assim, é isso que, segundo um relato de bug, o Claude Code fez, e os detalhes importam menos do que o instinto de design por trás disso.

O que aconteceu, em resumo

Em 5 de novembro, um desenvolvedor abriu a issue nº 107757 no GitHub sobre o Claude Code. Quem a registrou afirma que o Claude Code revelou seu e-mail a terceiros quaisquer no cabeçalho de requisição User-Agent durante buscas na web, e que agora recebe dezenas de e-mails de golpe por dia. Segundo o AI Weekly Malaysia, o relato foi feito contra a versão 2.1.318 no macOS, e o autor está migrando sua empresa para o Pi com OpenRouter. A história se espalhou rápido: de acordo com o clauding.de, a issue chegou a 687 pontos no Hacker News em poucas horas.

Sobre a correção, a documentação é mais escassa e em parte contraditória. O StartupHub.ai diz que a resposta da Anthropic é uma opção chamada cc-plugin-privacy em /plugins, ativada por padrão na versão 2.1.317. Esse número é menor que o do relato, então, com o que temos, não dá para saber quais versões são afetadas. Também não vimos um comunicado oficial da Anthropic. Os detalhes devem ser tratados como incertos. A relação de causa com os e-mails de golpe também é uma alegação de quem fez o relato, e não algo que possamos verificar.

Um identificador em um cabeçalho é uma decisão, não um acidente

As strings User-Agent existem para dizer a um servidor que software está batendo à porta. Colocar ali um e-mail pessoal transforma uma etiqueta técnica em um marcador de rastreamento. Seja como for que tenha chegado lá, parece-nos que alguém precisou decidir que ele pertencia ao tráfego de saída.

Na nossa visão, essa é a falha. Não que um bug tenha passado, porque bugs acontecem. A falha é que dados que identificam o usuário estavam no caminho padrão para a internet aberta. Um padrão que respeitasse a privacidade seria o oposto: o agente não envia nada que identifique o usuário, a menos que ele ative isso. Se uma empresa tem um bom motivo para enviar um identificador, como prevenção de abusos ou atribuição, pode perguntar uma vez, em linguagem clara, e explicar quem o recebe.

Os agentes de programação pioram a situação em relação a um aplicativo comum. Um navegador avisa quando você visita um site. Um agente busca páginas por conta própria, muitas delas, no meio de uma tarefa que você descreveu em uma frase. Você não vê as requisições, então não pode se opor a elas. O silêncio é a experiência padrão, e é justamente por isso que os padrões precisam ser conservadores.

A falta de transparência é a lacuna maior

Mesmo que a opção resolva esse caso, a pergunta continua: o que mais os agentes transmitem? Nomes de host, dados da máquina, caminhos de projetos, identificadores de sessão? Não sabemos e, na maioria das ferramentas, os usuários também não. Esse é o problema real.

O ecossistema já está reagindo. O projeto de código aberto Stroq diz que consegue varrer suas sessões anteriores do Claude Code e do Codex e mostrar quais chaves saíram da sua máquina, além de bloquear chamadas de saída que levem segredos conhecidos. Achamos bom sinal que alguém construa essas ferramentas e mau sinal que elas sejam necessárias. Os usuários não deveriam precisar auditar o próprio assistente com um script de terceiros para saber o que ele envia.

O que as empresas nos devem e o que você deve fazer

Nossa recomendação às empresas é simples. Primeiro, identificadores desativados por padrão e ativados só com um aviso claro. Segundo, uma lista publicada e versionada do que o agente envia fora da API do modelo, incluindo os cabeçalhos das buscas na web. Terceiro, um changelog que diga com clareza quando essa lista mudar. Nada disso é exótico, e uma empresa que vende uma ferramenta em que as pessoas confiam seu código e suas credenciais pode arcar com isso.

Para os usuários, os passos práticos são modestos. Atualize para a versão mais recente, confira a configuração de privacidade de plugins mencionada acima e leia a discussão da issue antes de presumir que está seguro. Se o seu endereço foi exposto, espere mais spam e se prepare. Se você trabalha em uma empresa, peça à equipe de segurança que examine o que seus agentes enviam antes que o próximo incidente faça isso por ela.

A lição vai além de uma única empresa. A Anthropic está longe de ser a única a criar agentes que agem em nosso nome, e todas enfrentam a mesma tentação de enviar um pouco mais do que o necessário. Identificadores opcionais e transparência honesta deveriam ser o mínimo. Qualquer coisa menos pede que os usuários confiem por padrão, e confiança é a única coisa que um agente não deveria presumir.