A empresa de segurança Apiiro encontrou 2.539 segredos reais em 1.994 repositórios públicos do GitHub, incluindo credenciais em arquivos de configuração do Claude Code, no histórico do Git, em configurações compartilhadas e em transcrições de agentes.
Principais conclusões
A Apiiro encontrou 2.539 segredos reais em 1.994 repositórios públicos do GitHub, incluindo credenciais em arquivos do Claude Code e registros relacionados de agentes.
A questão gira em torno dos arquivos locais “.claude/settings.local.json”, criados após o uso da opção “não perguntar novamente” no Claude Code
A Apiiro afirmou ter identificado segredos reais em repositórios públicos, o que significa que chaves de nuvem, tokens de API ou credenciais internas podem ter sido expostos
As equipes devem rever as regras de exclusão, ampliar a análise de segredos para incluir pastas ocultas e revogar e substituir qualquer chave que tenha chegado a um repositório público
A Apiiro afirmou que o problema se concentra em “.claude/settings.local.json”, um arquivo local que os desenvolvedores podem enviar acidentalmente para o repositório depois de usar a opção “não perguntar novamente” no Claude Code. Das 104.185 cópias públicas desse arquivo no GitHub, 1.122 continham um segredo real, e 63 organizações foram afetadas, incluindo uma que confirmou que a sua chave esteve ativa.
Leia também: o Claude Code da Anthropic tem enviado os endereços de e-mail dos utilizadores para sites
Os números são importantes porque não se tratava de sequências de teste hipotéticas. A Apiiro afirmou ter identificado segredos reais em repositórios públicos, o que significa que chaves na nuvem, tokens de API ou credenciais internas podem já ter sido expostos a qualquer pessoa que recolha dados do GitHub.
Isso transforma um recurso conveniente num risco para a cadeia de fornecimento.
Segredos do Claude Code transformam conveniência em exposição
Os agentes de programação pedem cada vez mais permissões permanentes para poderem executar comandos, instalar pacotes ou chamar ferramentas sem pedir aprovação a cada passo. Isso torna as ferramentas mais rápidas, mas também cria um novo tipo de vestígio: configurações sensíveis que acabam gravadas no disco e, mais tarde, são incluídas no controlo de versões.
Quando um arquivo entra num repositório público, as cópias podem espalhar-se rapidamente por meio de bifurcações, espelhos e índices de pesquisa.
Mesmo que um desenvolvedor apague o arquivo mais tarde, o segredo pode já ter sido copiado.
A descoberta da Apiiro insere-se numa mudança mais ampla: da conclusão automática para a programação com agentes. As ferramentas mais recentes não se limitam a sugerir linhas de código: também inspecionam arquivos, executam tarefas e memorizam decisões.
Esse âmbito mais alargado torna os arquivos de configuração locais muito mais sensíveis do que eram nos antigos assistentes de programação.
De predefinições úteis a uma verdadeira superfície de ataque
As equipes de segurança alertam há anos para os riscos de chaves codificadas diretamente no código-fonte. A novidade é que os agentes de IA podem criar essas exposições por meio da memória de permissões, em vez de um desenvolvedor colar manualmente credenciais numa aplicação.
Essa distinção é importante para os planos de resposta.
A análise tradicional de segredos procura tokens nos arquivos de código-fonte, enquanto os riscos gerados por agentes podem estar em caminhos locais ocultos, configurações de ferramentas ou pastas específicas de cada máquina que os desenvolvedores nunca esperaram publicar. Os programas de segurança baseados apenas na revisão de código podem não detetar esse risco.
O problema também se enquadra num padrão observado na adoção de IA pelas empresas.
As empresas adicionam agentes para acelerar o trabalho de engenharia e, depois, descobrem que a ferramenta criou novos mecanismos de armazenamento, registo ou aprovação fora dos controlos habituais das políticas. Esses pontos cegos são uma das razões pelas quais muitas organizações tratam agora as ferramentas de desenvolvimento com IA como produtos de segurança, e não apenas como software de produtividade.
O que os desenvolvedores devem verificar agora
As equipes que usam o Claude Code devem verificar se os arquivos de configuração locais estão excluídos dos commits e se os analisadores de repositórios abrangem diretórios ocultos.
Devem revogar e substituir qualquer chave que possa ter chegado a um repositório público, porque apagá-la não garante que a credencial tenha permanecido privada.
O relatório da Apiiro destaca especificamente “.claude/settings.local.json” como o caminho onde são armazenados os registos persistentes de permissões após o uso da opção “não perguntar novamente”. Esse arquivo é o vetor que liga o comportamento do agente da Anthropic aos tokens expostos em repositórios públicos do GitHub.
Os desenvolvedores devem estar atentos a alterações dos fornecedores nos caminhos dos arquivos, nas regras de exclusão e no armazenamento de permissões, pois são esses detalhes da interface que determinam se a rapidez do agente permanece local ou se transforma numa fuga de dados pública.
Por que os arquivos ocultos são mais importantes
Os segredos do Claude Code são perigosos porque ficam escondidos em locais que muitas equipes não analisam com atenção.
Um desenvolvedor pode pensar que a ação sensível aconteceu dentro do assistente, mas a prova real está num arquivo de configuração no disco. Quando esse arquivo é enviado para o GitHub, a exposição deixa de ser um erro pessoal e passa a ser um problema do repositório.
Para as equipes de plataforma, a solução é simples.
Adicione o caminho do arquivo local às listas de exclusão, amplie a análise de segredos para incluir pastas ocultas e bloqueie commits que contenham arquivos de configuração de agentes conhecidos. Revogue e substitua as credenciais rapidamente quando um repositório se tornar público.
Para fornecedores como a Anthropic, aumentará a pressão por opções de armazenamento predefinidas e uma gestão mais segura das permissões memorizadas. O próximo campo de batalha dos agentes de programação pode ser o local onde o agente grava a sua memória.
Leia a seguir: guia do GitHub coloca o Copilot em 4 tarefas de programação; humanos decidem