Botão “Não perguntar novamente” do Claude Code salva senhas em arquivo — 2.539 segredos vazaram no GitHub

O botão “Sim, não perguntar novamente” economiza alguns segundos, mas depois pode custar suas chaves de acesso à nuvem. Pesquisadores da Apiiro descobriram que, após receber essa confirmação, o Claude Code grava o comando autorizado por inteiro em um arquivo de configurações. Se houver segredos no comando, eles permanecem ali em texto simples.

Como isso acontece

Imagine que você peça ao agente para se conectar a um banco de dados. Ele monta um comando como psql, com a senha diretamente na string de conexão, ou executa curl com um token no cabeçalho. O Claude Code pede permissão, você clica em “Sim, não perguntar novamente” e, para não voltar a perguntar no futuro, o agente salva uma regra de permissão em .claude/settings.local.json. A regra contém o comando literalmente, incluindo a senha.

Em seguida, entra em cena a distração humana de sempre. O arquivo fica no projeto, um desenvolvedor executa git add . e git push, e o segredo vai parar em um repositório público. A palavra local no nome do arquivo cria a falsa impressão de que ele nunca sairá da máquina, mas, na prática, muitas vezes ninguém o exclui do índice.

A dimensão do problema

A Apiiro encontrou 2.539 segredos em 1.994 repositórios. Entre eles estavam senhas de bancos de dados, credenciais SSH e chaves da AWS. Não se trata de um cenário teórico, mas de vazamentos que já aconteceram, e bots coletores encontram esse tipo de dado muito rapidamente em repositórios públicos.

Outro problema é que excluir o arquivo em um commit posterior não resolve nada. O Git mantém todo o histórico, e o segredo continua acessível em commits antigos. O único caminho confiável é considerar a chave comprometida, revogá-la imediatamente e emitir uma nova. Limpar o histórico com filter-repo é necessário, mas apenas como medida adicional.

O que fazer agora mesmo

• Verifique se seus repositórios contêm .claude/settings.local.json e confira o que foi gravado nele.
• Adicione o arquivo ao .gitignore ou, de preferência, ao gitignore global da máquina.
• Ative hooks de pre-commit e scanners de segredos como o gitleaks, ou habilite a proteção contra push no GitHub.
• Não passe segredos em comandos: use variáveis de ambiente, gerenciadores de segredos e perfis da AWS.
• Se o arquivo já tiver sido publicado, rotacione imediatamente todas as chaves e senhas indicadas nele.

Limitações e conclusão

Não há intenção maliciosa do modelo nesta história. Trata-se de uma falha de design em um recurso conveniente, no qual a permissão é memorizada na forma de uma linha de comando completa. Resta saber com que rapidez a Anthropic mudará esse comportamento, por exemplo, passando a salvar um modelo sem argumentos ou a mascarar valores sensíveis. Até que isso aconteça, a responsabilidade fica com a equipe.

Para equipes de produto e fundadores, a conclusão é mais ampla: qualquer ferramenta com uma função de “lembrar minha decisão” cria um novo artefato com dados sensíveis. Ele precisa ser incluído no modelo de ameaças da mesma forma que logs, dumps e arquivos .env. Estamos concedendo cada vez mais acesso aos agentes, enquanto a higiene em torno dos arquivos de configuração deles continua atrasada. Reserve dez minutos para uma auditoria hoje, antes que outra pessoa faça isso por você.