Claude Code estaba metiendo el email de tu cuenta en el User-Agent de las peticiones que hacía a sitios de terceros.
El caso salió a la luz el 5 de noviembre en el issue #107757 de GitHub. Anthropic ya publicó un parche parcial; la versión estable seguía sin él.
El usuario que abrió el reporte, en macOS y con la versión 2.1.318, contó que recibe “decenas de correos de estafa al día” y culpó al header. Su testimonio no prueba el vínculo con el spam, pero el mecanismo sí está documentado: el email viajaba en cada request.
Qué pasaba exactamente
Para usuarios con sesión iniciada, Claude Code ponía el email de la cuenta en el contexto del modelo. La razón original era evitar que Claude inventara nombres en campos como @author.
El problema: cuando un sitio pide un cliente identificable con datos de contacto —la SEC, Wikipedia, crates.io o Liquipedia, según los reportes— el modelo tomaba el único correo que tenía a mano y lo escribía en el User-Agent.
No era una función escondida en el código; era el modelo resolviendo una instrucción con el dato que le dieron. Eso lo hace más difícil de parchear: cualquier cosa que entre al contexto puede salir por una herramienta.
El parche que llegó (y lo que no cubre)
La versión 2.1.317, publicada el 3 de noviembre, agregó un chequeo y un mod integrado llamado cc-plugin-privacy, activo por defecto.
Bloquea llamadas de Bash, PowerShell o Monitor que contengan la dirección de la cuenta y nombren un User-Agent. Se puede desactivar desde /plugins.
El README del mod es más honesto que el changelog: no revisa WebFetch, WebSearch ni herramientas MCP, y admite que se puede evadir con el correo en una URL, en el cuerpo de la petición, en un header “From”, dentro de un script o mediante otra codificación.
“Es una cortesía, no una frontera”, dice el propio texto. Además, el canal estable seguía en 2.1.311, sin el chequeo; el equipo recomendó actualizar a 2.1.317 o superior.
Cinco meses de reportes
El issue viral no fue el primero. En julio, el #78431 documentó el envío a crates.io y el #81138 mostró que el email se inyectaba en el system prompt. En octubre, el #101659 apuntó a Liquipedia y el #102577 a Wikipedia.
El arreglo llegó después de que el tema explotara en Hacker News, no cuando aparecieron los primeros reportes.
En el hilo, un miembro del equipo de Claude Code dijo que el arreglo de fondo —quitar el email del contexto del modelo— llegaría en una versión prevista para la semana siguiente. Hasta entonces, el parche tapa una forma y deja abiertas las demás.
Qué hacer ahora
Revisa tu versión con claude --version. Si estás en 2.1.317 o superior, confirma en /plugins que cc-plugin-privacy está activo. Si usas Homebrew, el cask claude-code sigue el canal estable: cambia a claude-code@latest.
En equipos, fija un mínimo con "minimumVersion": "2.1.317" en settings.json. Y si tu agente necesita un contacto para sitios que lo exigen, usa un buzón de rol, no tu correo personal.
El detalle es que el email no se filtraba por un descuido aislado: estaba ahí porque alguien decidió que el modelo lo necesitaba. ¿Qué otros datos de tu contexto están a una herramienta de distancia?
Más en: Ciberseguridad, Programación
