Claude Code vazou 1379 segredos: chaves da AWS e senhas de bancos de dados foram parar em repositórios públicos

É uma história conhecida: um recurso conveniente vira uma brecha de segurança porque ninguém verifica exatamente o que ele grava no disco. Desta vez, o caso envolve o Claude Code. Segundo pesquisadores da Apiiro, repositórios públicos do GitHub contêm 1122 cópias do arquivo de configuração do agente, nas quais foram encontrados 1379 segredos: senhas de bancos de dados, tokens de API, chaves da AWS e outras credenciais.

Como os segredos vão parar no arquivo de configuração

O Claude Code pede permissão antes de executar um comando no terminal. Quando você clica em “permitir sempre”, a regra é salva em um arquivo de configuração dentro do projeto. O problema é que ela é salva exatamente como está, incluindo os argumentos do comando.

Imagine que você peça ao agente para se conectar a um banco de dados e execute um comando com a senha passada diretamente na linha de comando. Ou que execute curl com um token em um cabeçalho. Você concede uma autorização permanente, e a linha inteira, incluindo a senha, vai parar no arquivo. Depois, o hábito assume o controle: git add, commit, push. O arquivo fica na pasta do projeto, e muita gente não sabe que ele existe nem o que contém.

Com isso, o segredo fica em um lugar que ninguém pensa em verificar, em vez de estar em um arquivo .env que todos já se acostumaram a adicionar ao .gitignore. É um ponto cego clássico: as ferramentas de segurança e os hábitos das equipes são voltados aos arquivos tradicionais que contêm segredos, e não à configuração de um agente de IA.

Por que isso é mais grave que um vazamento comum

Bots varrem constantemente os repositórios públicos do GitHub. Uma chave da AWS exposta em um repositório público costuma ser usada em questão de minutos: para mineração, spam ou acesso a dados. Mesmo que você apague o arquivo no commit seguinte, o segredo permanece no histórico do git.

Os números da Apiiro parecem representar apenas um limite inferior: os pesquisadores encontraram o que estava visível nas buscas, enquanto repositórios privados e forks ficaram fora da amostra. Além disso, qualquer ferramenta baseada em agentes que memorize comandos autorizados apresenta os mesmos riscos: Cursor, Codex CLI, Gemini CLI e outras.

O que fazer agora

Primeiro: verifique seus repositórios. Localize a pasta de configuração do Claude Code e examine a lista de comandos permitidos. Qualquer linha com uma senha, um token ou uma chave é motivo para agir.

Segundo: se um segredo pode ter ido parar em um repositório público, considere-o comprometido. Apenas apagar o arquivo não basta: é preciso revogar a chave e emitir uma nova. Limpar o histórico do git ajuda, mas não garante que ninguém já tenha obtido uma cópia.

Terceiro: adicione o arquivo de configuração local do agente ao .gitignore e integre um scanner de segredos ao pre-commit e à CI. Gitleaks, TruffleHog ou a proteção de push integrada do GitHub podem detectar esses casos antes da publicação.

Quarto: não passe segredos na linha de comando. Use variáveis de ambiente, gerenciadores de segredos ou tokens de curta duração para que a regra de autorização salva não contenha nada de valor. E não clique em “permitir sempre” para comandos com argumentos sensíveis.

Limitações

A fonte aqui é uma publicação no X com um link para a pesquisa da Apiiro; não tivemos acesso ao relatório completo. Não se sabe quantos dos 1379 segredos estavam ativos e quantos já haviam sido revogados ou eram credenciais de teste. Também ainda não está claro se a Anthropic mudará esse comportamento: por exemplo, se passará a mascarar argumentos nas regras salvas ou a alertar sobre o risco de incluir o arquivo em um commit.

Mas a conclusão prática não depende desses detalhes. Agentes de IA criam novos arquivos com dados incidentais, e os hábitos tradicionais de segurança não os contemplam. Verifique seus repositórios hoje, antes de chegar a primeira fatura da AWS.