Claude Code, il tool da riga di comando di Anthropic per scrivere codice con l’assistenza dell’intelligenza artificiale, ha inserito l’indirizzo email dell’account degli utenti nell’header User-Agent delle richieste HTTP effettuate durante le ricerche sul web. A denunciarlo è stato un utente che, in una segnalazione pubblicata il 5 novembre 2026, ha raccontato di ricevere «decine di email di truffa al giorno» dopo che il software ha diffuso il suo indirizzo a siti terzi senza alcun consenso esplicito.
La segnalazione, aperta come issue #107757 sul repository GitHub del progetto, descrive un comportamento emerso sulla versione 2.1.318 in ambiente macOS, confermato poco dopo anche su Windows 11. Secondo alcuni commenti tecnici raccolti nella discussione, la causa risiede nel fatto che l’indirizzo email dell’account resta visibile al modello all’interno del prompt di sistema: Claude Code può quindi decidere in autonomia di inserirlo in un comando curl o in un header personalizzato nel corso di una sessione di navigazione automatizzata.
Non si tratta di un episodio isolato. Lo stesso difetto era già stato segnalato il 25 luglio 2026, oltre tre mesi prima che Anthropic intervenisse con una correzione. Nel frattempo la discussione ha raccolto centinaia di reazioni, in gran parte critiche verso l’azienda per i tempi di risposta e per l’assenza di un controllo preventivo su una funzione capace di esporre dati personali a soggetti terzi.
Una correzione che lascia ancora porte aperte
Anthropic ha risposto direttamente nella discussione, spiegando di aver introdotto cc-plugin-privacy, un modulo integrato che dalla versione 2.1.317 dovrebbe bloccare in modo deterministico l’inserimento di email e altri dati di contatto negli header delle richieste. Il modulo è attivo di default e può essere disattivato tramite il comando /plugins, invito che l’azienda ha accompagnato con la richiesta agli utenti di segnalare eventuali lacune residue.
Le lacune, in effetti, non hanno tardato a emergere. Un test indipendente condotto su 23 scenari diversi, eseguito sul codice effettivamente distribuito, ha prodotto 10 blocchi corretti ma anche 8 fughe non intercettate, tra email inserite in header From, in credenziali di autenticazione basic, in parametri di query, in dati POST o codificate in formato non ASCII. Lo stesso test ha rilevato pure 4 falsi positivi, con comandi legittimi bloccati senza motivo.
Il meccanismo, descritto nel codice stesso come «una cortesia, non un confine», si basa su un semplice confronto testuale tra parole chiave legate a email e a User-Agent, senza un parser dedicato, e sorveglia solo l’esecuzione di comandi shell come Bash e PowerShell. Le chiamate dirette agli strumenti di ricerca integrati, WebFetch e WebSearch, restano fuori dal perimetro del controllo.
Le segnalazioni successive confermano la falla sul campo: un utente ha documentato come, su Windows 11 con Claude Code 2.1.318, un comando curl con l’indirizzo email inserito manualmente nell’User-Agent venga eseguito senza alcun blocco, nonostante il modulo cc-plugin-privacy risultasse correttamente caricato nella sessione di lavoro.
Il caso solleva un dubbio più ampio sulla gestione dei dati personali da parte degli agenti IA pensati per lavorare in autonomia nel terminale. Avere l’indirizzo email dell’account incluso nel prompt di sistema, a disposizione del modello per qualunque decisione operativa, è una scelta progettuale che espone gli utenti a rischi concreti ogni volta che l’agente interagisce con l’esterno. Finché il controllo resta un filtro testuale applicato a valle, e non una regola strutturale a monte, il rischio di nuove fughe resta tutt’altro che chiuso.