O Claude Code está expondo informações sensíveis em repositórios públicos do GitHub, e o problema decorre de um arquivo de configuração em que muitos desenvolvedores nunca pensam. Pesquisadores de segurança da Apiiro afirmam ter encontrado milhares de segredos, incluindo senhas de bancos de dados, tokens de API e logins de root, dentro de arquivos de configuração do Claude Code que haviam sido enviados a repositórios públicos de código.

Como o Claude Code expõe segredos em arquivos de configuração?

O vazamento vem da forma como a ferramenta lida com a aprovação de comandos de shell automatizados. Quando um usuário seleciona “Sim, e não perguntar novamente” para aprovar um comando, o Claude Code salva essa escolha como uma regra em um arquivo local chamado “.claude/settings.local.json.” Às vezes, a regra é armazenada como um padrão. Com frequência, porém, o comando é gravado no arquivo exatamente como foi digitado, incluindo qualquer informação sensível que contenha.

Na máquina de um único desenvolvedor, esse arquivo representa pouco risco, desde que a própria máquina permaneça segura. A documentação do Claude Code, da Anthropic, afirma que o arquivo é adicionado à lista .gitignore global do desenvolvedor, o que normalmente impede que ele seja compartilhado. O problema é que a proteção existe em nível global e não é replicada em cada repositório. Se um projeto for clonado para outra máquina, ou se uma pasta se tornar um repositório posteriormente, o arquivo pode ser enviado por acidente. A Apiiro afirma que o próprio Claude Code às vezes registra alterações no arquivo de configuração sem qualquer intervenção do usuário.

Os segredos podem ser removidos depois que um arquivo de configuração se torna público?

Os pesquisadores da Apiiro identificaram mais de 100.000 casos em que o arquivo de configuração local havia sido enviado a um repositório público do GitHub. Desses, cerca de 1.100 vieram de 63 organizações diferentes e continham segredos como tokens de API públicos, senhas de bancos de dados ou chaves privadas. Remover um arquivo de um repositório não apaga os segredos. Eles podem persistir em forks do projeto original, e um usuário do GitHub que copiou o projeto antes da limpeza ainda pode tê-los.

O problema não é novo. Um relatório de bug apontou a falha em agosto de 2025. Outros relatórios afirmaram que o arquivo sensível nem sempre era adicionado à lista .gitignore, ou que o Claude Code podia gravar os comandos sensíveis em outro arquivo que o git não protegia. Todos esses relatórios foram fechados sem ação após 60 dias de inatividade.

Os desenvolvedores agora estão se manifestando publicamente. Em uma discussão no Hacker News durante o fim de semana, Boris Cherny, do Claude Code, afirmou que a equipe está “analisando o que podemos fazer para evitar isso”. Ele também disse que os arquivos de configuração quase nunca deveriam ser incluídos no controle de código-fonte git de um usuário, e que casos como esses parecem ocorrer apenas quando “os arquivos foram criados manualmente e incluídos no repositório”.

Cherny sugeriu que os usuários experimentem, enquanto isso, o modo automático do Claude Code. O modo automático usa classificadores para tratar “solicitações rotineiras de permissão” automaticamente, para que os usuários não precisem manter, manualmente, o que ele chamou de “listas de permissão e bloqueio meticulosas”. Outro usuário then apontou que comandos sensíveis ainda podem ser salvos em arquivos de configuração no modo automático. Cherny classificou isso como um “bom achado” e disse que a equipe está “pensando em como podemos melhorar isso”.

Os verificadores de segredos detectam os segredos vazados do Claude Code?

Ele também pediu que os usuários confiem em verificadores de segredos, ferramentas que buscam informações sensíveis em arquivos e as removem. Cherny afirmou que a equipe considerou incorporar esse tipo de verificação ao Claude Code. Essas ferramentas, porém, não são infalíveis. A Apiiro descobriu que 215 dos cerca de 1.100 segredos públicos que identificou nos arquivos de configuração do Claude Code passaram despercebidos por dois verificadores populares, o gitleaks e o TruffleHog.

O Claude Code não é o único agente de IA que vazou informações sensíveis por acidente. A Meta suspendeu o recurso de compartilhamento de seu agente Muse depois que pesquisadores de segurança descobriram que as URLs de conteúdo compartilhado podiam ser facilmente adivinhadas.

Este artigo foi escrito com a assistência de IA.
News Factory APP - notícias agênticas para impulsionar seu SEO e AEO.