Claude Code: quando aprovar um comando cria outro lugar para guardar segredos
Permissões persistentes podem transformar comandos sensíveis em arquivos de configuração. A revisão deve acompanhar o segredo da estação do desenvolvedor até as cópias do repositório.
Read in EnglishPor Pentesty
O que a pesquisa permite afirmar
A reportagem do CISO Advisor de 8 de novembro remete à pesquisa da Apiiro, publicada em 5 de novembro e atualizada no dia 8, com coleta entre 1 e 3 de novembro. Os pesquisadores encontraram 1.122 cópias públicas de .claude/settings.local.json com valores classificados como segredos. Outros totais do estudo também abrangem artefatos diferentes e histórico, sem demonstrar uso por invasores.
A Apiiro não testou a validade das credenciais coletadas; relata que uma organização confirmou que uma chave estivera ativa. A atualização inclui uma resposta de 7 de novembro de Boris Cherny, da Anthropic, e possíveis melhorias em estudo. Isso não estabelece que uma correção já tenha sido distribuída. A Pentesty não reproduziu o levantamento nem acessou credenciais de terceiros.
A aprovação também produz um artefato
A documentação de permissões descreve aprovações permanentes de comandos Bash salvas em .claude/settings.local.json para sessões futuras, nos casos locais de projeto documentados. Há exceções de localização, e outras operações têm escopos diferentes. Uma regra que contenha um comando com senha literal pode criar outra cópia desse valor. Aprovar uma ação e revisar o que ficará armazenado são decisões diferentes.
O nome “local” descreve um escopo de configuração, não uma garantia de confidencialidade. Uma equipe precisa saber quem pode ler o arquivo e quais processos o copiam. Na prática, recomendamos incluir configurações de agentes no inventário de artefatos do desenvolvimento, ao lado de logs, transcrições e pacotes de diagnóstico.
A documentação de configurações descreve uma exclusão global do Git quando o cliente cria o arquivo. A pesquisa descreve limites da exclusão global do Git: ela não acompanha o projeto e não retira arquivos já rastreados. Uma entrada no .gitignore do repositório ajuda a evitar novas inclusões, mas não revoga uma chave nem remove suas cópias anteriores. O controle precisa abranger o índice atual e o histórico.
Se houver exposição, acompanhe a autoridade concedida
Em um caso real, o responsável pelo serviço emissor deve revogar ou rotacionar o acesso exposto e verificar a substituição. Preserve evidências com acesso restrito e examine registros do serviço para delimitar uso observado. A presença no GitHub, sozinha, não prova exploração; a ausência de um alerta também não comprova que ninguém acessou a credencial.
Retire o arquivo do rastreamento e coordene a limpeza do histórico, forks e espelhos sob controle da organização. Não prometa apagar cópias que terceiros já possam ter feito. Prefira referências a um gerenciador de segredos a valores literais e confira se logs e configurações continuam livres desses valores.
Nossa análise de segredos e histórico em automações do GitHub ajuda a organizar a revogação. Já a revisão de limites de ação de agentes de IA trata de quem autoriza cada operação. Os eventos são distintos, mas a mesma equipe pode usar essas verificações para acompanhar onde uma aprovação deixa dados e autoridade.
Perguntas frequentes
Todo uso do Claude Code expõe credenciais?
Não. O risco descrito depende do conteúdo salvo e de quem consegue acessar ou publicar os artefatos. O teste precisa reproduzir o fluxo autorizado da organização.
Adicionar o arquivo ao .gitignore resolve uma exposição anterior?
Não. Verifique o rastreamento e as cópias anteriores, mas trate primeiro a validade do acesso no serviço que emitiu a credencial.
Os números demonstram milhares de invasões?
Não. São resultados atribuídos à pesquisa sobre artefatos públicos. Confirmar uso indevido exige evidências adicionais do ambiente afetado.
Que evidência permite encerrar a correção?
Registre a recusa da credencial revogada, o funcionamento da substituta com escopo mínimo e a repetição do teste de versionamento sem exposição dos valores.
Fontes e referências
- CISO Advisor: referência editorial de 8 de novembro
- Apiiro: pesquisa e atualização de 8 de novembro
- Claude Code: persistência de permissões
- Claude Code: escopos dos arquivos de configuração
Análise original da Pentesty, publicada em 8 de novembro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.