Claude Code pode gravar senhas e chaves em repositórios públicos
Ao aprovar um comando com a opção de não perguntar de novo, o Claude Code pode guardar o texto inteiro, senha incluída, num arquivo do projeto. Veja como checar e rotacionar credenciais na sua empresa.
Se alguém da sua equipe usa o Claude Code, vale uma revisão rápida nos repositórios, principalmente nos públicos. Segundo o The Hacker News, senhas e chaves de API digitadas em comandos aprovados na ferramenta estão visíveis em repositórios abertos no GitHub, e qualquer pessoa pode lê-las.
O que foi relatado
O mecanismo, conforme a publicação, é simples. Quando o usuário escolhe a opção "Yes, and don't ask again", o assistente de programação da Anthropic pode salvar o comando exatamente como foi digitado, com o segredo dentro, em um arquivo de configurações do projeto. Se esse arquivo for enviado ao GitHub junto com o código, a credencial vai junto. A empresa de segurança Apiiro, citada pela fonte, identificou 1.122 cópias públicas nessa situação. O trecho disponível da reportagem não detalha qual é o nome exato do arquivo nem a resposta da Anthropic, então confirme esses pontos na matéria original e na documentação da ferramenta.
Por que importa para uma pequena empresa
Em empresas pequenas, o desenvolvedor costuma ser também quem administra servidores, banco de dados e contas de nuvem. Uma única chave de API vazada pode dar acesso a mais do que o código. E, se o segredo envolver dados pessoais de clientes, o incidente deixa de ser só técnico: pode entrar no campo da LGPD, que exige avaliar o risco e agir. A fonte não fala do Brasil, mas a lógica vale para qualquer time que use a ferramenta.
Primeiro, descubra quem usa o Claude Code e em quais projetos. Depois, abra os arquivos de configuração de cada projeto, dos repositórios públicos e privados, e procure senhas, tokens e chaves escritos dentro de comandos aprovados. Confira também o histórico do Git, porque apagar a linha hoje não remove o que já foi publicado antes.
Se encontrar qualquer segredo, trate-o como comprometido. Gere uma nova credencial, atualize os serviços que dependem dela e revogue a antiga. Só então limpe o arquivo. Revise os registros de acesso do serviço afetado para ver se houve uso estranho.
Para o futuro, oriente a equipe a não digitar segredos direto em comandos e a usar variáveis de ambiente ou um gerenciador de segredos. Evite marcar "não perguntar de novo" em comandos que contenham credenciais. Uma regra de varredura de segredos antes de cada envio ao repositório também ajuda a barrar o problema cedo.
Fechamento
O risco não vem de um ataque sofisticado, e sim de um hábito comum de uso. Uma revisão de uma tarde, seguida de rotação das credenciais, costuma custar bem menos do que lidar com um vazamento.
Fontes
Continue lendo
Anatel manda bloquear SMS sem cadastro: o que sua empresa faz
A Anatel determinou que operadoras bloqueiem SMS corporativos de remetentes sem cadastro. Empresas que enviam avisos, cobranças ou códigos por SMS precisam checar se estão no novo diretório antes do fim do prazo de 90 dias.
CibersegurançaVazamento no FGC: o que empresas devem revisar na LGPD
O FGC admitiu acesso indevido a nomes, CPFs e e-mails de investidores. O caso serve de roteiro para pequenas empresas revisarem acessos, fornecedores e o preparo para comunicar um incidente à ANPD.