O botão mais conveniente do Código Claude da Anthropic – “Sim, e não pergunte novamente” – se transformou silenciosamente em uma máquina de vazamento de credenciais, de acordo com uma nova pesquisa da empresa de segurança de aplicativos Apiiro. Quando os desenvolvedores aprovam um comando que contém um segredo, Claude Code salva esse comando exato, incluindo o segredo, em um arquivo de configurações locais que frequentemente acaba comprometido com repositórios públicos do GitHub. A varredura do Apiiro encontrou 2.539 segredos reais em 1.994 repositórios públicos: senhas de bancos de dados, chaves de API de nuvem, tokens e logins de raiz SSH, espalhados por 63 organizações, a maioria delas empresas de software. Uma empresa afetada confirmou aos pesquisadores que uma chave exposta estava ativa. É o segundo incidente de privacidade do Claude Code neste mês, após a ferramenta divulgação de e-mails de usuários para sites por meio de cabeçalhos User-Agent – ​​e este afeta a infraestrutura de produção, não apenas os detalhes de contato. Seguimos de perto a segurança do agente de codificação de IA em nossa cobertura de ferramentas de IA.

Como uma regra de permissão se torna um vazamento

O mecanismo é um efeito colateral do sistema de permissão de Claude Code, que pede aprovação antes de executar comandos shell – muitas vezes várias vezes por sessão. Peça ao agente para depurar uma conexão de banco de dados ou chamar uma API interna, e o comando que ele propõe carrega todas as credenciais exigidas pela tarefa, porque não pode funcionar sem elas.

Escolha "Sim e não pergunte novamente" e Claude Code executa o comando e escreve uma regra de permissão em `.claude/settings.local.json` dentro da pasta do projeto. A regra não é uma abstração: é a própria string de comando completa, senha digitada em texto simples e tudo.

O arquivo foi projetado para permanecer na máquina do desenvolvedor, e Claude Code tenta protegê-lo — adicionando-o à lista global de ignorados do git do desenvolvedor. Isso cobre o caso comum, mas não os casos extremos: uma pasta que se torna um repositório posteriormente, um clone em outra máquina onde o ignorar global não existe ou um arquivo que alguém confirmou antes da entrada ignorar ser adicionada. Crucialmente, a regra nunca chega ao próprio `.gitignore` do repositório, portanto nenhuma proteção acompanha o projeto.

Para agravar o problema, Claude Code frequentemente envia o próprio arquivo. Em 539 dos 1.105 repositórios onde Apiiro rastreou um segredo real, um commit de coautoria de Claude alterou o arquivo de configurações — commits que nomeiam modelos que vão do Sonnet 4.5 ao Opus 5.5. Apiiro observa que o comportamento é do próprio Claude Code, não do modelo: a empresa o reproduziu tanto com o Opus 5.5 quanto com o Fable 5.1.

A escala da exposição

Apiiro contou 104.185 cópias públicas de `.claude/settings.local.json` no GitHub. Desses, 1.122 contêm pelo menos um segredo real. Os pesquisadores encontraram mais 1.160 segredos escondidos no histórico do repositório git, nos arquivos `settings.json` compartilhados que as equipes comprometem deliberadamente e nas transcrições salvas do bate-papo do agente verificadas nos repositórios.

Os exemplos dos documentos do Apiiro parecem uma lista de verificação de piores práticas. Um fornecedor de banco de dados expôs sua própria chave de API de nuvem em nível de administrador — com acesso gerenciado e sem expiração — junto com seu host de cluster. Uma startup B2B vazou uma senha de produção do Azure Postgres. Uma agência de software expôs um token de acesso à produção da Square. Uma empresa de serviços de TI que criava um aplicativo de registros médicos vazou a senha do proprietário desse banco de dados. Os projetos de código aberto não tiveram melhor desempenho: um com mais de 1.000 estrelas publicou uma chave de API no formato OpenAI, outro um token npm.

O contexto de segurança torna a descoberta ainda pior. O malware de roubo de credenciais já varre as máquinas dos desenvolvedores em massa – Apiiro aponta para o worm Shai-Hulud npm, que executou o scanner TruffleHog nos arquivos das vítimas. Esse mesmo scanner sinalizaria 643 dos 1.122 arquivos vazados que Apiiro encontrou. Mais preocupante é o resíduo: um em cada cinco dos arquivos vazados não é sinalizado nem pelo TruffleHog nem pelo gileaks, geralmente porque o segredo é uma senha digitada dentro de um comando, em vez de uma chave em um formato de token reconhecível. Os scanners secretos, em outras palavras, são estruturalmente cegos para essa classe de vazamentos.

O que as equipes afetadas devem fazer

A orientação de remediação de Apiiro começa com a definição do raio da explosão. Pesquise `.claude/settings.local.json` e `.claude/settings.json` em sua organização GitHub — cada hit é um arquivo que qualquer um pode ler agora. Verifique o histórico git de cada repositório para o arquivo, mesmo que ele tenha sido excluído, porque cada bifurcação e clone preserva qualquer histórico contido. Em seguida, audite as cópias locais em cada máquina do desenvolvedor: cada entrada na lista de permissões é um comando aprovado por alguém, com tudo o que foi digitado nele.

A ordem da empresa é importante: girar primeiro, limpar depois. Excluir um arquivo de um repositório não afeta as credenciais que já eram públicas, e o histórico do git mantém os segredos expostos ativos indefinidamente.

Um padrão, não único

Para a Anthropic, a descoberta chega uma semana depois que Claude Code foi pego vazando endereços de e-mail de usuários para todos os sites visitados por meio de cabeçalhos de User-Agent – um bug corrigido pelo envio de uma modificação de privacidade, que os críticos chamaram de band-aid. Os dois incidentes compartilham uma causa raiz: um agente que lida com contextos poderosos – credenciais, detalhes de contato, nomes de host internos – e toma decisões padrão sobre para onde esse contexto trafega.

A lição vai além do Código Claude. À medida que os agentes de codificação se tornam equipamentos padrão, os arquivos que eles escrevem para se organizarem estão se tornando um novo canto não verificado da cadeia de fornecimento de software. Os números de Apiiro sugerem que esse canto já está vazando em uma escala que a maioria das organizações ainda não começou a medir.

Fique à frente da IA

As ferramentas de IA estão sendo enviadas mais rápido do que suas análises de segurança conseguem acompanhar. Acompanhe todos os desenvolvimentos em nossa cobertura de notícias sobre IA.

Leia mais notícias sobre IA →