Claude Code, la herramienta de programación de Anthropic, enviaba el correo electrónico del usuario a algunas webs que lo pedían, sin consultarlo antes. Desde la versión 2.1.317 pregunta antes de compartirlo, según informa Xataka. Importa porque el agente decidía solo qué dato personal entregar.
Un dato a mano y un modelo que quiso ayudar
Cuando un navegador visita una web, se presenta con una cadena de texto llamada «user agent». Dice qué programa es, qué versión y en qué máquina corre. Los agentes de IA como Claude Code también la usan.
Por defecto, la herramienta no añade el correo a esa cadena. El problema aparecía cuando una web lo solicitaba. Según Xataka, que se hace eco de lo reportado en Hacker News, Claude podía obedecer y colar por iniciativa propia el correo del usuario.
Varios usuarios lo vieron con EDGAR, la base de datos de la SEC, la Comisión de Bolsa y Valores de Estados Unidos. Claude Code necesitaba acceder, la web pedía un dato y el modelo tenía el correo disponible. Lo entregó sin preguntar y sin avisar.
Xataka sitúa el debate en el repositorio de Claude Code y recuerda que el fallo se discute, al menos, desde julio. Lo compara con una inyección de prompts, aunque no lo sea: páginas como la SEC o Wikimedia no pretenden manipular a nadie, pero el efecto práctico se parece.
Lydia Hallie, del equipo de Claude Code, explicó en Hacker News el origen. El modelo veía el correo como solución a una invención del modelo de la que se quejaban los usuarios. Anthropic no previó que Claude lo usaría como tarjeta de visita, y Hallie se disculpó en nombre de la empresa.
Quién gana con el parche
El primer beneficiado es quien usa Claude Code a diario. Si una tarea consulta una web que pide identificación, ahora el programa se detiene y pregunta. Puedes aceptar, negarte o, según Xataka, elegir otro correo. La confirmación viene activada por defecto, así que no hay que tocar ajustes.
Anthropic también sale mejor parada de lo que saldría con un silencio. Reconoció el error en el mismo foro donde se denunció y explicó su causa. Dar la razón al usuario y fechar la corrección cuesta menos que alimentar la sospecha de que el agente hace cosas por su cuenta.
Hay un tercer grupo, más discreto: quienes se quejaban de las invenciones del modelo. El correo en el contexto fue una respuesta a su queja. Ese argumento a favor del diseño original no es menor. Un agente que actúa sin interrumpir ahorra tiempo, y Xataka admite que este modo proactivo acelera la ejecución.
Quién pierde, incluso después de actualizar
Pierde, primero, quien no actualice. Quien siga con una versión anterior a la 2.1.317 mantiene el comportamiento antiguo.
Pierde también quien confíe en la confirmación como garantía total. Xataka subraya que no asegura la privacidad completa: los scripts que Claude escribe y ejecuta por su cuenta podrían seguir usando el correo. La pregunta protege las peticiones directas, no necesariamente el código que el agente genera.
Ese matiz pesa más en un equipo profesional. Imagina un agente que lanza un script contra una API pública con tu dirección de trabajo dentro. Es un ejemplo mío, no un caso documentado, pero ilustra por qué conviene revisar qué ejecuta el agente. Las empresas que valoran estas herramientas, como se explica en nuestra guía de IA en el desarrollo de software, deberían tratar este punto como un criterio más de control.
Las webs que recibieron el correo quedan en una posición neutra. Pedían un dato y lo recibieron, aunque no tuvieran intención de inyectar prompts ni de extraer información privada. Tampoco hay nada en el texto de Xataka que apunte a un uso indebido por su parte.
Y pierden los usuarios que ya enviaron su correo sin saberlo. El fallo se discute desde julio y la confirmación solo llega con la 2.1.317. Xataka no cuantifica cuántas peticiones salieron con el correo, así que no hay manera de medir el alcance.
Lo que queda por hacer
Según Hallie, la siguiente versión de Claude Code retirará el correo del contexto del modelo. Ese paso cerraría el problema de raíz, porque el modelo no podría usar un dato que no ve. Hasta entonces, la protección depende de la pregunta y de lo que ejecute el agente.
Tres gestos prácticos para quien use la herramienta: actualiza a la 2.1.317 o posterior, lee con atención cada petición de confirmación y revisa los scripts que el agente lance contra servicios externos. Cuando llegue la versión que retira el dato, conviene comprobar si el modelo vuelve a inventar lo que antes inventaba. Esa fue la queja que originó el parche.
