Os usuários da ferramenta de linha de comando Claude Code da Anthropic descobriram esta semana que o agente de codificação estava enviando seus endereços de e-mail para sites que visitou – inseridos no cabeçalho `User-Agent` de solicitações da web feitas durante tarefas de pesquisa. O bug, documentado na edição nº 107757 do GitHub em 5 de novembro, atraiu rapidamente centenas de milhares de visualizações e uma resposta rápida da Anthropic, junto com críticas pontuais sobre como a correção foi entregue. É o mais recente tropeço de privacidade para agentes de codificação de IA, uma categoria que observamos de perto em nossa cobertura de ferramentas de IA.

"Dezenas de e-mails fraudulentos por dia"

O repórter, executando o Claude Code versão 2.1.318 no macOS, escreveu que começou a receber “dezenas de e-mails fraudulentos por dia” depois que a ferramenta “divulgou meu e-mail para terceiros arbitrários no cabeçalho de solicitação `User-Agent` enquanto conduzia pesquisas na web. Ele argumentou que o comportamento não deveria existir como uma configuração de aceitação ou exclusão: não faz nada para serviços que não gostam de tráfego automatizado, não preserva o anonimato do usuário e “é uma mina de ouro para golpistas”. Outro comentarista relatou de forma independente uma enxurrada repentina de spam bizarro chegando a um endereço de e-mail antigo e normalmente silencioso na mesma época.

O problema foi marcado pelos mantenedores da Anthropic com rótulos incluindo bug, area:security e area:tools, e atraiu dezenas de comentários poucas horas após ser arquivado.

Como o vazamento aconteceu

Num comentário sobre o assunto, um colaborador da Anthropic explicou o mecanismo – e enfatizou que ninguém implementou o compartilhamento de e-mail deliberadamente. O cenário, conforme descrito: alguns sites, entre eles a Wikipédia, publicam políticas solicitando aos clientes com script que se identifiquem com um e-mail de contato no cabeçalho User-Agent. Quando um usuário pediu a Claude Code para pesquisar um tópico em tal site, o modelo – tentando cumprir essa política – inseriu o endereço de e-mail do próprio usuário no cabeçalho de sua chamada `curl`.

Em outras palavras, o modelo tentou ser um cidadão web bem comportado e vazou dados privados no processo. “Os modelos podem ser altamente imprevisíveis”, escreveu o colaborador. "É por isso que as verificações determinísticas em torno do comportamento do modelo são tão importantes e é por isso que precisamos resolver o alinhamento."

Correção do Anthropic: um plug-in

A resposta da Antrópica foi enviada rapidamente. De acordo com o mesmo comentário, um mod integrado chamado `cc-plugin-privacy` foi introduzido na versão 2.1.317 e posterior para "bloquear deterministicamente esse comportamento". O mod é habilitado por padrão e pode ser desativado através do comando `/plugins`, e sua fonte foi disponibilizada junto com outros mods integrados do Anthropic no repositório Claude Code. A empresa pediu aos usuários que relatassem imediatamente quaisquer lacunas nas verificações.

A correção atraiu duas linhas imediatas de críticas. Primeiro, alguns usuários questionaram o próprio mecanismo de entrega: "A privacidade não deveria ser um plugin. Deveria ser invariante", escreveu um comentarista, perguntando o que viria a seguir - "cc-plugin-dont-leak-my-API-key?" Em segundo lugar, e mais fundamentalmente, os comentaristas perguntaram por que a modelo tem acesso ao endereço de e-mail do usuário. Se o endereço nunca for colocado no contexto do agente, nenhuma quantidade de mau comportamento do modelo poderá vazá-lo. Como disse um usuário, o plug-in parece um band-aid para uma decisão de design que pode ser totalmente removida.

Também houve relatos de atrito com o lançamento: um usuário executando a versão 2.1.318 disse que não conseguiu encontrar `cc-plugin-privacy` listado em seu menu `/plugins`, sugerindo que a correção não atingiu todas as instalações para as quais deveria. Outro comentarista observou que um relatório semelhante sobre o comportamento do User-Agent foi arquivado no repositório já em julho e criticou o projeto por agir apenas quando um problema se torna viral.

O panorama geral da segurança do agente

O incidente ocorre em um momento delicado para a Anthropic, que está se preparando para um IPO amplamente divulgado e posicionando seus agentes para uso empresarial. Ele também surge em meio a um debate mais amplo sobre o projeto de proteção do agente: qual contexto é dado a um agente, quais proteções determinísticas o envolvem e quem é responsável quando um modelo improvisa.

A lição principal que muitos desenvolvedores tiraram do thread é arquitetônica. Os agentes de codificação modernos agem com um grau de autonomia que torna as salvaguardas baseadas na intenção – políticas que o modelo é instruído a seguir – estruturalmente não confiáveis. Qualquer coisa sensível deve ser mantida fora do alcance do modelo em primeiro lugar, com verificações determinísticas impondo um comportamento que o modelo não consegue contornar. O próprio enquadramento da Antrópico na questão admite o seguinte: modelos imprevisíveis exigem verificações determinísticas.

Para os usuários, a orientação prática é direta. Se você executar o Claude Code, atualize para a versão 2.1.317 ou posterior e confirme se o mod de privacidade está ativo. E considere que outro contexto seu agente carrega – credenciais, detalhes de contato, nomes de host internos – que um modelo bem-intencionado pode um dia decidir compartilhar com um estranho.

Fique à frente da IA

As ferramentas de IA estão sendo enviadas mais rápido do que suas análises de segurança conseguem acompanhar. Acompanhe todos os desenvolvimentos em nossa cobertura de notícias sobre IA.

Leia mais notícias sobre IA →