El martes pasado, un desarrollador reportó en GitHub que llevaba semanas recibiendo decenas de correos de spam al día. La causa, confirmada horas después por la propia comunidad de Claude Code: la herramienta de codificación de Anthropic llevaba metiendo el email de la cuenta del usuario en cada request HTTP que hacía hacia internet — primero escondido en el system prompt del modelo, después expuesto en texto plano en el header User-Agent de cualquier sitio que la IA tocara. El reporte se volvió la historia número uno de Hacker News en cuestión de horas, con más de mil puntos y más de 300 comentarios. Para una herramienta que millones de developers corren todos los días sobre repos privados, API keys y datos de clientes, esto no es un bug cosmético: es una pregunta incómoda sobre qué más está saliendo de tu terminal sin que lo sepas.
Dos fugas, cinco meses de diferencia
Lo que hace esta historia más interesante que un simple "se encontró un bug" es que en realidad son dos fugas separadas, descubiertas con meses de distancia:
- 25 de julio: se abrió un primer issue señalando que Claude Code inyectaba el email de la cuenta — tomado directo del campo de autenticación guardado localmente — como bloque de contexto dentro del system prompt de cada sesión. El modelo "sabía" tu correo en cada conversación, lo pidieras o no.
- 5 de noviembre, 10:13pm: un usuario de GitHub (taylor-edwards) abrió el issue que detonó todo, reportando algo más grave: ese mismo email terminaba, en texto plano, dentro del header User-Agent de cada request HTTP que la herramienta hacía al navegar o buscar en la web. Cualquier sitio visitado — y cualquier proxy, CDN o log en el camino — podía quedarse con tu dirección real asociada a tu actividad de desarrollo.
El primer issue estuvo abierto más de cien días sin resolverse. El segundo explotó en Hacker News el mismo día que se publicó y tuvo respuesta de un colaborador de Anthropic en cuestión de horas. La diferencia no fue la gravedad técnica — ambas fugas exponen el mismo dato — fue la visibilidad pública.
Qué dijo Anthropic (y qué no quedó claro)
La respuesta oficial, vía un colaborador de Anthropic en el propio hilo de GitHub, fue que desde la versión 2.1.317 existe un módulo interno que bloquea de forma "determinista" este comportamiento, viene activado por default y se puede desactivar desde el menú de plugins.
El problema: varios usuarios corriendo la versión 2.1.318 — posterior al supuesto parche — reportaron en los comentarios que el email seguía apareciendo en sus pruebas locales. Nadie en el hilo aclaró si el módulo cubre también la fuga original del system prompt (la de julio) o solo la del User-Agent. Y la publicación del código fuente del plugin, prometida por Anthropic para que la comunidad pudiera auditarlo, seguía pendiente al momento de escribir esta nota.
Para ponerlo en perspectiva con datos verificables: el primer reporte llevaba más de cinco meses abierto sin corrección antes de que el segundo, mucho más visible, forzara una respuesta en menos de 24 horas. Eso no es un dato menor — es la prueba de que la presión pública, no el proceso interno de triage, fue lo que movió la aguja.
Por qué esto no es (solo) un problema de Anthropic
Es tentador leer esto como "otra empresa de IA que mete la pata" y seguir con tu día. El problema es que Claude Code no es un producto aislado: es un agente que vive en tu terminal, con acceso a tus repos, tus variables de entorno y, en muchos casos, las de tus clientes. Y no es el único — Cursor, Windsurf, Copilot Workspace y cualquier otro agente de código comparten la misma arquitectura de riesgo: un proceso con permisos amplios que hace requests HTTP salientes que casi nadie audita línea por línea.
La lección real no es "desconfía de Claude Code". Es que la mayoría de los equipos que corren agentes de IA en su stack no tienen idea de qué tráfico sale de esos agentes hacia internet, y asumen que si el vendor no lo menciona, no pasa. Este caso demuestra que sí pasa, que puede tardar meses en salir a la luz, y que cuando sale, el usuario final —no el vendor— es quien recibe las consecuencias: en este caso, literalmente spam en su bandeja de entrada.
Lo que esto significa para agencias, developers y tu producto
En Geek Vibes corremos agentes de código todos los días — para nosotros y para proyectos de clientes — así que esto no es un ejercicio teórico. Si tu equipo usa cualquier agente de IA con acceso a internet (no solo Claude Code), esto es lo mínimo que deberías estar haciendo esta semana:
- Audita el tráfico saliente de tus agentes. Un proxy local durante una sesión de trabajo te dice en minutos qué headers y qué datos están saliendo realmente, sin depender de lo que documenta el vendor.
- Revisa qué identidad usan tus herramientas para autenticarse versus qué identidad exponen. Un token de auth no debería terminar convertido en contenido de contexto del modelo ni en un header público — son dos funciones que nunca deberían mezclarse.
- Trata los changelogs de seguridad de tus vendors de IA como parte de tu stack, no como noticia externa. Si corres Claude Code, Cursor o cualquier agente similar en proyectos con NDA o datos de cliente, alguien en tu equipo debería estar monitoreando los issues de seguridad de esa herramienta, no enterándose por Hacker News meses después.
- Hazle a tus proveedores de IA la misma pregunta que le harías a Anthropic: ¿qué datos de identidad del usuario terminan en requests salientes, y quién los audita antes de que un usuario externo los encuentre primero?
Si estás construyendo producto con agentes de IA como parte del stack —lo cual, seamos honestos, ya es la mayoría de los equipos de software en 2026— esta historia es un recordatorio barato de una lección cara: la superficie de fuga de datos de un agente no es solo lo que tú le pides que haga, es todo lo que hace de fondo para poder hacerlo.
Cierre
Anthropic va a arreglar esto, probablemente bien, probablemente pronto. Pero el patrón —meses de silencio hasta que la presión pública fuerza una respuesta— se va a repetir con otros vendors de agentes de IA, porque la industria completa está shippeando más rápido de lo que audita. Si tu agencia o tu equipo de producto depende de estas herramientas (y casi seguro depende), vale la pena invertir una tarde en revisar qué está saliendo de tu stack antes de que lo descubra alguien más.
¿Quieres que revisemos la seguridad y el stack de IA de tu producto o agencia? Escríbenos a hello@geekvibes.agency.
