O Claude Code email User-Agent é um bug descoberto na versão 2.1.285 do agente da Anthropic: o endereço de e-mail do desenvolvedor passou a ser inserido automaticamente no cabeçalho HTTP User-Agent, ficando visível nos logs de qualquer servidor que recebesse requisições do agente durante buscas na web.
Como o Claude Code email User-Agent vazava dados
O Claude Code lê configurações locais do arquivo ~/.claude/settings.json. Nesse arquivo, a Anthropic armazena dados da conta, incluindo o e-mail cadastrado. A partir da versão 2.1.285, esse endereço passou a ser inserido automaticamente no campo User-Agent de requisições HTTP, o mesmo campo que identifica o navegador ou cliente em toda conexão web.
O resultado: qualquer servidor que recebesse uma requisição feita pelo agente durante uma pesquisa poderia registrar o e-mail do desenvolvedor nos próprios logs de acesso, sem nenhum tipo de aviso ou consentimento. O problema foi documentado em issues públicos no GitHub após pesquisadores de segurança analisarem os logs de servidores que recebiam tráfego do agente.
O Claude Code tem mais de 1 milhão de desenvolvedores ativos, segundo estimativas da comunidade, o que significa que o bug pode ter exposto endereços de e-mail em dezenas de milhares de servidores durante semanas.
Por que isso importa para o seu negócio
Se você usa o Claude Code para automatizar tarefas, o agente provavelmente faz dezenas de requisições à web em cada sessão, buscando documentação, conferindo APIs ou pesquisando soluções. Isso significa que múltiplos servidores externos podem ter registrado o e-mail corporativo vinculado à sua conta Anthropic.
Esse tipo de vazamento silencioso tem três consequências práticas:
- Rastreamento não autorizado: terceiros podem correlacionar seu e-mail com os assuntos pesquisados via agente, criando um perfil de atividade.
- Phishing direcionado: e-mails coletados via User-Agent são dados reais, não gerados, tornando-se alvo fácil para campanhas direcionadas.
- Risco regulatório: em ambientes sujeitos à LGPD ou GDPR, vazar dados de identificação pessoal em requisições HTTP pode configurar infração, mesmo que involuntária.
Empresas com o Claude Code email User-Agent em CI/CD ou em fluxos automatizados com acesso à internet são as mais expostas: o volume de requisições é maior e geralmente não há monitoramento manual.
Como se proteger agora
Enquanto a Anthropic não emite um patch, o workaround documentado pela comunidade é remover o e-mail das configurações locais:
claude config set userEmail ""
Ou editar diretamente o arquivo ~/.claude/settings.json e deixar o campo userEmail vazio. Após a mudança, novas requisições do agente não carregarão o endereço no cabeçalho.
Vale verificar também se versões anteriores a 2.1.285 estão disponíveis para downgrade enquanto aguarda o fix oficial, tendo em conta que versões antigas podem não ter correções de segurança mais recentes.
Segundo os relatos no GitHub, a Anthropic reconheceu o problema mas classificou como baixa prioridade, o que levanta debate sobre a transparência da empresa em questões de segurança. Para referência, a documentação oficial do Claude Code não menciona o comportamento do User-Agent.
Conteúdo reescrito e traduzido para PT pela redação luiscortex, revisado por humano.
Fonte: iMasters
