Claude Code adivinó Drupal por el email incluso en safe-mode: el autor creó la skill /ccu

Pides a un agente de IA un consejo neutral y recibes una respuesta hecha a tu medida. No porque el modelo te adule, sino porque lee todo lo que le has dejado: instrucciones, skills, memoria, incluso tu dirección de correo. El autor de esta historia comprobó en carne propia que eliminar ese ruido es más difícil de lo que parece.

Drupal en lugar de un consejo neutral

El autor preguntó a Claude Code qué CMS recomendaría. La respuesta: Drupal. Cuando le preguntó «por qué», el agente explicó con franqueza que había visto una skill propia para Drupal y concluyó que el usuario trabaja con ella. Es lógico: los CLAUDE.md personales, las skills y los ajustes convierten al agente en un eco de su dueño.

Entonces el autor encontró el flag --safe-mode, que promete arrancar sin CLAUDE.md, skills, plugins, hooks ni servidores MCP con la misma suscripción. Volvió a preguntar y obtuvo Drupal otra vez. Esta vez la cadena fue: un email en el contexto del agente, el dominio amazee.io, una empresa conocida por su hosting de Drupal, por lo tanto el usuario trabaja en un entorno orientado a Drupal. La configuración había desaparecido, pero la identidad seguía ahí.

Cómo funciona /ccu

La solución fue la skill /ccu (Claude Code, Unbiased by me). El autor no necesita una sesión limpia completa, sino una comprobación rápida de vez en cuando, por eso es una skill. El agente principal escribe un prompt, copia los archivos necesarios a una carpeta vacía, lanza allí una instancia limpia y trae la respuesta.

El aislamiento es sencillo. Cada ejecución recibe un directorio temporal nuevo con dos carpetas: work para los archivos de la tarea y un home vacío. Después, el lanzamiento es más o menos así: se entra en work, luego env -i con HOME apuntando a la carpeta vacía, PATH y el token OAuth, y a continuación claude -p con el modelo deseado y el prompt como entrada.

El flag env -i arranca con un entorno vacío, de modo que nada se filtra desde el shell. El token es el mismo de la sesión actual, y la skill lo toma del Keychain de macOS. La suscripción sigue siendo la misma, pero el email desaparece: el perfil de la cuenta está en .

claude.json, que se escribe al iniciar sesión, y en el home limpio no existe.

Hay un matiz con los permisos. El modo claude -p rechaza cualquier herramienta que requiera confirmación, porque no hay nadie que confirme. Por eso el agente principal enumera de antemano las herramientas necesarias en work/.claude/settings.json, por ejemplo WebFetch, WebSearch y Bash(curl:*). Pero en una carpeta no confiable esos ajustes se ignoran, así que /ccu marca work como confiable mediante hasTrustDialogAccepted en .claude.json dentro de home.

Otro detalle: tras la ejecución, la skill convierte el log en bruto en un transcript.md legible. El agente principal recibe solo la respuesta de la instancia limpia y no lee la transcripción. Una persona puede revisarla por sí misma para comprobar que el agente principal no influyó en el resultado.

Por qué importa en la práctica

La conclusión va más allá del CMS. Cualquier consejo de un agente con contexto acumulado debe considerarse personalizado. Si eliges un stack, evalúas una arquitectura o pides la revisión de un texto, la respuesta estará sesgada hacia lo que el agente sabe de ti. El autor también usa /ccu para revisores con personalidad en su blog, como un editor o un colega, que no deben saber quién es el autor.

Conclusiones prácticas:

• No confíes en un flag de «modo seguro» como garantía de limpieza: comprueba qué llega realmente al contexto, incluidos los datos de la cuenta.
• Para comparaciones justas, ejecuta el modelo en un HOME separado con un entorno vacío, en lugar de limitarte a desactivar plugins.
• Si automatizas el lanzamiento con claude -p, planifica los permisos con antelación y ten en cuenta la regla de confianza de la carpeta.

También hay limitaciones. La solución depende del Keychain de macOS y de un comportamiento concreto de Claude Code que puede cambiar. El token sigue perteneciendo a tu suscripción, así que hay que manejarlo con cuidado. Y hasta una instancia limpia ve el sistema operativo, el shell, la ruta de la carpeta temporal y la fecha, por lo que una respuesta absolutamente neutral no existe.

¿Y el CMS? En una instancia limpia, Claude Code recomendó Payload. La diferencia entre Drupal y Payload muestra bien cuánto de ti hay en las respuestas habituales de un agente.