Uma investigação encontrou milhares de credenciais reais expostas em repositórios públicos por causa de uma configuração do Claude Code, ferramenta da Anthropic voltada a tarefas de programação. Segundo a matéria do Canaltech, pesquisadores da Apiiro identificaram 2.539 credenciais em 1.994 repositórios públicos, com impacto sobre 63 organizações. Em 539 projetos, também havia commits coautorados pelo próprio Claude Code que incluíam arquivos confidenciais.
O caso é importante para qualquer pessoa que usa agentes de programação, mesmo fora do ecossistema da Anthropic. O problema não depende de uma vulnerabilidade sofisticada no GitHub. Ele nasce da combinação entre permissões automáticas, arquivos locais de configuração e o hábito de enviar para o repositório tudo o que aparece na pasta do projeto. Uma ferramenta que economiza tempo pode, sem uma revisão adequada, transformar um segredo temporário em um dado público.
Como o segredo vai parar no projeto
O Claude Code pode sugerir comandos de terminal durante tarefas como migrações de banco de dados, diagnósticos e operações de manutenção. Esses comandos podem conter senhas, tokens ou chaves de API. Quando o desenvolvedor escolhe a opção Yes, and do not ask again, a ferramenta registra a autorização para não interromper o fluxo com a mesma pergunta.
De acordo com a apuração, a autorização é gravada em texto simples no arquivo .claude/settings.local.json, dentro da pasta do projeto. O arquivo pode parecer apenas uma preferência local, mas pode conter o comando completo e os valores usados na execução. Se ele for incluído em um commit e enviado a um repositório público, o segredo passa a ser acessível por qualquer pessoa que encontre o histórico.
O Claude Code tenta evitar esse resultado ao adicionar o arquivo ao .gitignore global do desenvolvedor. A proteção, porém, não é aplicada automaticamente ao arquivo .gitignore específico do projeto. Em algumas equipes, o repositório usa regras próprias, substitui padrões globais ou mantém um fluxo que força a inclusão de arquivos ignorados. O resultado é uma diferença perigosa entre a expectativa da ferramenta e a realidade do projeto.
Por que a escala chama atenção
Os pesquisadores não encontraram apenas exemplos artificiais. O levantamento localizou 2.539 credenciais consideradas reais em quase dois mil repositórios e alcançou projetos acadêmicos, startups, agências de software e fornecedores de tecnologia. Essa diversidade mostra que o risco pode surgir em ambientes com níveis diferentes de maturidade e não está limitado a um único tipo de organização.
Uma chave publicada pode dar acesso a serviços de nuvem, bancos de dados, sistemas de comunicação ou APIs pagas. Uma senha de servidor pode permitir alteração de dados ou instalação de malware. Mesmo quando a credencial é revogada rapidamente, o histórico do Git pode manter versões antigas e cópias em forks, caches e máquinas de colaboradores. Por isso, apagar o arquivo atual não é suficiente depois de um vazamento.
O papel dos commits coautorados
A presença de commits coautorados pelo Claude Code torna o incidente ainda mais fácil de investigar, mas também revela uma mudança no fluxo de desenvolvimento. Agentes não são apenas autocomplete. Eles podem executar comandos, editar arquivos e preparar alterações que entram no mesmo processo de revisão usado por pessoas. Se o time trata a autoria automática como sinal de confiança, pode deixar passar dados que seriam questionados em uma revisão manual.
O que desenvolvedores devem fazer
A primeira medida é revisar os arquivos de configuração do Claude Code em cada projeto e impedir que eles contenham segredos em texto claro. O arquivo .claude/settings.local.json deve ser incluído em regras de ignorados do próprio repositório, não apenas em uma configuração global. A equipe também precisa conferir se alguma regra de inclusão forçada ou ferramenta de sincronização pode reverter essa proteção.
- Revogue e substitua imediatamente as chaves expostas, sem esperar para descobrir se foram usadas.
- Pesquise o histórico completo do Git, inclusive branches, tags e pull requests, em busca de valores antigos.
- Use um gerenciador de segredos ou variáveis protegidas no ambiente de desenvolvimento e na integração contínua.
- Limite permissões de tokens por serviço, projeto e duração, para reduzir o impacto de um vazamento.
- Ative secret scanning no provedor de código e faça uma varredura local antes de cada push.
Também é importante mudar a forma de aprovar comandos. A opção que impede novas perguntas pode ser conveniente em uma tarefa repetitiva, mas não deve ser usada quando o comando acessa banco de dados, arquivos de configuração ou serviços externos. Um agente precisa operar com o menor privilégio possível, e as ações de maior risco devem exigir confirmação específica.
Como equipes podem adaptar o fluxo de IA
Agentes de código funcionam melhor quando a equipe define limites claros. Um ambiente de testes com dados falsos reduz a chance de uma senha real entrar em uma sessão. Hooks de pré-commit podem bloquear padrões de chaves e tokens. Pipelines de CI podem verificar arquivos adicionados antes de permitir o merge. Em projetos maiores, uma conta de serviço separada e com permissões mínimas é preferível a uma credencial pessoal.
O incidente também sugere uma revisão do conceito de produtividade. Se o agente executa mais comandos por minuto, o time precisa aumentar a observabilidade na mesma proporção. Logs, revisão de diffs e alertas de uso anormal devem acompanhar a adoção. Automatizar a escrita de código sem automatizar a detecção de segredos apenas desloca o risco para uma etapa menos visível.
O alerta vale para qualquer assistente
O caso do Claude Code é específico, mas o princípio se aplica a Copilot, editores com agentes e scripts que executam instruções em nome do usuário. Qualquer ferramenta que leia o terminal, altere arquivos ou acesse a internet pode acabar manipulando dados que não deveriam ser publicados. A regra mais segura continua sendo simples: código gerado pode ser acelerado, mas credenciais nunca devem ser tratadas como parte normal do código.
Para profissionais brasileiros, a notícia reforça uma prática básica de segurança que costuma ser esquecida durante um experimento: separar protótipo de produção, usar dados fictícios e revogar chaves quando houver dúvida. O agente pode ajudar a encontrar e corrigir a exposição, mas a responsabilidade por permissões e segredos permanece com a equipe que controla o repositório.
Fonte: Canaltech, Alerta para devs: Claude Code vaza senhas e chaves de API em massa no GitHub.
