Usuários relatam que o Claude Code inclui o endereço de e-mail deles nos cabeçalhos de requisições web; Anthropic diz que um mod integrado bloqueia isso

Uma issue no repositório do Claude Code, aberta em 5 de novembro de 2026, relata que o Claude Code enviou o endereço de e-mail do usuário a sites de terceiros no cabeçalho User-Agent de requisições web feitas durante pesquisas. O autor do relato, usando a versão 2.1.318, diz receber dezenas de e-mails fraudulentos por dia e pede que esse comportamento seja removido por completo. Na noite de 5 de novembro, a discussão sobre o assunto no Hacker News tinha 574 pontos e 192 comentários, e a própria issue tinha dezenas de reações.

Outros comentaristas na issue relatam experiências próprias. Um diz que subagentes usando curl incluíram identificadores como seu nome, equipe da empresa e URL do repositório no cabeçalho. Outro diz que foi usado um endereço profissional enquanto a pessoa estava conectada com uma conta pessoal. Outro atribui o aumento de spam personalizado à mudança para o Claude Code. Um comentarista verificou e viu apenas um cabeçalho padrão Claude-User (claude-code/2.1.318 (cli)). Esses são relatos de usuários e não foram confirmados de forma independente.

Um integrante da equipe do Claude Code respondeu na issue que a Anthropic já sabia do problema por relatos anteriores no Reddit e adicionou um mod integrado, cc-plugin-privacy, que bloqueia esse comportamento de forma determinística na versão 2.1.317 e posteriores. Ele fica ativado por padrão e pode ser desativado em /plugins. O integrante pediu que os usuários relatassem eventuais falhas nas verificações e disse que tentaria publicar o código-fonte do mod.

Comentaristas posteriores na issue acrescentaram dois pontos. Um, usando a versão 2.1.318, assim como o autor do relato, diz que não consegue encontrar cc-plugin-privacy em /plugins. Outro diz que o código-fonte do mod já está disponível e explica a causa provável: sites como a Wikipedia pedem que clientes automatizados se identifiquem com um e-mail de contato no User-Agent. Assim, quando solicitado a pesquisar nesses sites, o modelo forneceu o endereço do usuário em sua chamada curl. Esses são relatos de comentaristas e não foram confirmados pela Anthropic.

No início de 6 de novembro, a discussão no Hacker News tinha 1.030 pontos e 325 comentários. Um comentarista que diz trabalhar no Claude Code escreveu que a Anthropic está removendo o e-mail da conta do contexto que o Claude Code fornece ao modelo, em uma versão prevista para o início da semana seguinte. Ele disse que o endereço havia sido incluído porque, sem ele, o modelo inventava nomes para coisas como tags @author e que, ao criar uma chamada curl, às vezes colocava o endereço no User-Agent. Um usuário na issue do GitHub relata que, no Windows com a versão 2.1.318, cc-plugin-privacy está carregado, mas não recusou nem uma chamada de teste curl -A nem um echo contendo o endereço e "User-Agent". Este é o relato de um usuário e não foi confirmado pela Anthropic.