Los usuarios de la herramienta de línea de comandos Claude Code de Anthropic descubrieron esta semana que el agente de codificación había estado enviando sus direcciones de correo electrónico a los sitios web que visitaba, escondidas en el encabezado "User-Agent" de las solicitudes web realizadas durante las tareas de investigación. El error, documentado en GitHub número 107757 el 5 de noviembre, rápidamente atrajo cientos de miles de visitas y una rápida respuesta de Anthropic, junto con críticas directas sobre cómo se implementó la solución. Es el último tropiezo en materia de privacidad para los agentes codificadores de IA, una categoría que observamos de cerca en nuestra cobertura de herramientas de IA.

"Docenas de correos electrónicos fraudulentos por día"

El reportero, que ejecuta Claude Code versión 2.1.318 en macOS, escribió que comenzó a recibir "docenas de correos electrónicos fraudulentos por día" después de que la herramienta "divulgó mi correo electrónico a terceros arbitrarios en el encabezado de solicitud `User-Agent` mientras realizaba búsquedas en la web". Argumentó que el comportamiento no debería existir en absoluto como una configuración de inclusión o exclusión voluntaria: no hace nada por los servicios a los que no les gusta el tráfico automatizado, no preserva el anonimato del usuario y "es una mina de oro para los estafadores". Otro comentarista informó de forma independiente sobre una repentina avalancha de spam extraño que llegó a una dirección de correo electrónico antigua y normalmente tranquila aproximadamente al mismo tiempo.

El problema fue etiquetado por los mantenedores de Anthropic con etiquetas que incluyen error, area:security y area:tools, y generó docenas de comentarios a las pocas horas de ser presentado.

Cómo ocurrió la fuga

En un comentario sobre el tema, un colaborador de Anthropic explicó el mecanismo y enfatizó que nadie había implementado deliberadamente el uso compartido de correo electrónico. El escenario, como se describe: algunos sitios, Wikipedia entre ellos, publican políticas pidiendo a los clientes con script que se identifiquen con un correo electrónico de contacto en el encabezado User-Agent. Cuando un usuario le pidió a Claude Code que investigara un tema en dicho sitio, el modelo, intentando cumplir con esa política, insertó la propia dirección de correo electrónico del usuario en el encabezado de su llamada "curl".

En otras palabras, el modelo intentó comportarse bien como ciudadano de la web y filtró datos privados en el proceso. "Los modelos pueden ser muy impredecibles", escribió el colaborador. "Es por eso que las comprobaciones deterministas sobre el comportamiento del modelo son tan importantes y por eso necesitamos resolver la alineación".

Solución de Anthropic: un complemento

La respuesta de Anthropic llegó rápidamente. Según el mismo comentario, en la versión 2.1.317 y posteriores se introdujo un mod integrado llamado `cc-plugin-privacy` para "bloquear deterministamente este comportamiento". El mod está habilitado de forma predeterminada y se puede desactivar mediante el comando `/plugins`, y su fuente está disponible junto con otros mods integrados de Anthropic en el repositorio de Claude Code. La empresa pidió a los usuarios que informaran inmediatamente de cualquier laguna en los controles.

La solución generó dos líneas inmediatas de críticas. Primero, algunos usuarios cuestionaron el mecanismo de entrega en sí: "La privacidad no debería ser un complemento. Debería ser una invariante", escribió un comentarista, preguntando qué vendría después: "¿cc-plugin-dont-leak-my-API-key?" En segundo lugar, y más fundamentalmente, los comentaristas preguntaron por qué el modelo tiene acceso a la dirección de correo electrónico del usuario. Si la dirección nunca se coloca en el contexto del agente, ninguna mala conducta del modelo podrá filtrarla. Como lo expresó un usuario, el complemento parece una curita para una decisión de diseño que podría eliminarse por completo.

También hubo informes de fricciones con la implementación: un usuario que ejecutaba la versión 2.1.318 dijo que no podía encontrar `cc-plugin-privacy` en su menú `/plugins`, sugiriendo que la solución no había llegado a todas las instalaciones para las que estaba destinada. Otro comentarista señaló que ya en julio se había presentado en el repositorio un informe similar sobre el comportamiento de User-Agent y criticó el proyecto por actuar sólo una vez que un problema se vuelve viral.

El panorama más amplio de la seguridad de los agentes

El incidente llega en un momento delicado para Anthropic, que se está preparando para una IPO ampliamente difundida y posicionando a sus agentes para uso empresarial. También aterriza en medio de un debate más amplio sobre el diseño del arnés del agente: qué contexto se le da a un agente, qué barreras deterministas lo envuelven y quién es responsable cuando un modelo improvisa.

La lección principal que muchos desarrolladores aprendieron del hilo es la arquitectura. Los agentes de codificación modernos actúan con un grado de autonomía que hace que las salvaguardas basadas en la intención (políticas que el modelo debe seguir) sean estructuralmente poco confiables. En primer lugar, cualquier cosa sensible debe mantenerse fuera del alcance del modelo, con controles deterministas que imponen un comportamiento que el modelo no puede eludir. El propio enfoque de Anthropic en el tema admite este punto: los modelos impredecibles exigen controles deterministas.

Para los usuarios, la guía práctica es sencilla. Si ejecuta Claude Code, actualice a la versión 2.1.317 o posterior y confirme que el mod de privacidad esté activo. Y considere qué otro contexto tiene su agente (credenciales, detalles de contacto, nombres de host internos) que un modelo bien intencionado podría algún día decidir compartir con un extraño.

Manténgase por delante de la IA

Las herramientas de inteligencia artificial se envían más rápido de lo que pueden mantener sus revisiones de seguridad. Siga cada desarrollo en nuestra [cobertura de noticias sobre IA] (https://aibuzzwire.news).

Leer más noticias sobre IA →