Usuarios informan que Claude Code incluye su dirección de correo electrónico en los encabezados de las solicitudes web; Anthropic afirma que un mod integrado lo bloquea

Una incidencia de GitHub en el repositorio de Claude Code, abierta el 5 de noviembre de 2026, informa que Claude Code envió la dirección de correo electrónico del usuario a sitios web de terceros en el encabezado User-Agent de las solicitudes web realizadas durante búsquedas. Quien reportó el problema, que usaba la versión 2.1.318, dice que recibe decenas de correos fraudulentos al día y pide que se elimine por completo este comportamiento. Para la noche del 5 de noviembre, el hilo de Hacker News sobre el tema tenía 574 puntos y 192 comentarios, y la incidencia en sí había recibido decenas de reacciones.

Otros comentaristas de la incidencia aportan sus propios testimonios. Una persona dice que los subagentes que usan curl incluyen identificadores como su nombre, el equipo de su empresa y la URL del repositorio en el encabezado. Otra dice que se usó una dirección laboral mientras tenía iniciada sesión con una cuenta personal. Otra atribuye el aumento del spam personalizado al cambio a Claude Code. Un comentarista comprobó el encabezado y solo vio uno estándar: Claude-User (claude-code/2.1.318 (cli)). Estos son relatos de usuarios y no se han confirmado de manera independiente.

Un miembro del equipo de Claude Code respondió en la incidencia que Anthropic ya conocía el problema por informes anteriores en Reddit y había añadido un mod integrado, cc-plugin-privacy, que bloquea el comportamiento de forma determinista en la versión 2.1.317 y posteriores. Está activado de forma predeterminada y se puede desactivar en /plugins. Pidió a los usuarios que informaran de cualquier fallo en sus comprobaciones y dijo que intentarían publicar el código fuente del mod.

Más tarde, otros comentaristas de la incidencia añaden dos puntos. Una persona que, como quien reportó el problema, usa la versión 2.1.318, dice que no ve cc-plugin-privacy en /plugins. Otra dice que el código fuente del mod ya está disponible y explica la causa probable: sitios como Wikipedia piden a los clientes automatizados que se identifiquen con un correo electrónico de contacto en el User-Agent, así que, cuando se le pidió que investigara allí, el modelo proporcionó la dirección del usuario en su llamada a curl. Estos son testimonios de comentaristas y Anthropic no los ha confirmado.

A primera hora del 6 de noviembre, el hilo de Hacker News tenía 1.030 puntos y 325 comentarios. Un comentarista que dice trabajar en Claude Code escribió que Anthropic está eliminando el correo electrónico de la cuenta del contexto que Claude Code proporciona al modelo, en una versión prevista para principios de la semana siguiente. Dijo que se había añadido la dirección porque, de lo contrario, el modelo inventaba nombres para cosas como las etiquetas @author, y que, cuando escribía una llamada a curl, a veces ponía la dirección en el User-Agent. Un usuario de la incidencia de GitHub informa que, en Windows con la versión 2.1.318, cc-plugin-privacy está cargado, pero no rechazó ni una llamada de prueba a curl -A ni un echo que contenía la dirección y «User-Agent». Este es el informe de un usuario y Anthropic no lo ha confirmado.