Senhas salvas no PC acabam expostas em sites públicos

Meta description: Falha em Claude Code fez arquivos com senhas e credenciais serem enviados ao GitHub; investigação encontrou 100 mil documentos públicos, 1.000 com credenciais.

Uma falha ligada ao assistente para programadores Claude Code, da Anthropic, fez que senhas e credenciais fossem gravadas em arquivos locais que acabaram expostos em repositórios públicos do GitHub, segundo investigação divulgada pela empresa de segurança Apiiro e reportada pela ANSA.

O que aconteceu: falha em Claude Code e exposição de senhas

A Apiiro identificou que uma função do assistente Claude Code, projetada para facilitar o fluxo de trabalho de desenvolvedores, armazenava localmente a autorização do usuário para evitar confirmações repetidas. De acordo com a ANSA, esse mecanismo salvava a decisão do usuário em um arquivo no computador. Se o comando do programador continha senhas, tokens ou códigos de serviço, esses elementos também eram gravados no mesmo arquivo, transformando credenciais sensíveis em dados locais persistentes.

A descoberta foi divulgada publicamente após análise da Apiiro, que localizou milhares de arquivos contendo informação sensível que havia acabado em repositórios visíveis no GitHub, conforme noticiado pela ANSA.

Como ocorreu a exposição: fluxo local que virou upload público

O problema decorre do seguinte fluxo:

• Claude Code possui uma função para memorizar autorizações e evitar prompts repetidos.
• Essa memória é escrita em arquivos locais no ambiente do desenvolvedor.
• Quando projetos são movidos, copiados ou sincronizados — por exemplo ao clonar um repositório em outro dispositivo ou ao reconfigurar um projeto — esses arquivos podem ser incluídos no upload.
• Se o repositório for público, os arquivos passam a ficar acessíveis a qualquer pessoa no GitHub.

A Apiiro explicou que a presença de credenciais em comandos ou arquivos de configuração fez com que senhas e tokens ficassem gravados junto à autorização, elevando o risco de vazamento ao se tornarem parte do conteúdo submetido a repositórios públicos.

Impacto e dimensão do problema: mais de 100 mil documentos, mil com credenciais

A investigação identificou que mais de 100 mil documentos derivados desse comportamento foram carregados publicamente no GitHub. Em mais de 1.000 desses casos, os arquivos continham efetivamente senhas, tokens ou credenciais empresariais, segundo os dados levantados pela Apiiro e relatados pela ANSA.

Especialistas consultados pela reportagem destacam que, uma vez públicos, esses dados podem persistir em forks e cópias feitas por outros usuários, permanecendo acessíveis mesmo se o arquivo original for posteriormente removido do repositório original. Essa dinâmica aumenta a janela de risco e complica a remediação completa do vazamento.

Relevância para brasileiros e descendentes: riscos para desenvolvedores e empresas

Desenvolvedores brasileiros que usam assistentes de programação como Claude Code e plataformas de hospedagem de código como o GitHub podem estar expostos se adotarem fluxos que salvam autorizações e comandos localmente. Projetos colaborativos, especialmente aqueles com histórico de forks e clones, elevam a probabilidade de exposição de credenciais inadvertidamente.

Empresas brasileiras com repositórios públicos ou práticas de compartilhamento de projetos devem revisar:

• Políticas de armazenamento de tokens e senhas;
• Uso de arquivos de configuração que jamais deveriam ser versionados;
• Ferramentas de scanning e prevenção de vazamento de segredos antes do push para o GitHub.

A checagem rotineira de repositórios públicos e privados, além de educação de desenvolvedores sobre não embutir segredos em comandos e configurações, são medidas recomendadas para mitigar o risco. Para conteúdo sobre tecnologias e a vida digital na Itália, leitores podem acompanhar as seções de Notícias da Itália e Vida na Itália do Raízes Italianas.

O que as empresas de segurança e plataformas devem fazer

Especialistas em segurança sugerem que fornecedores de assistentes de programação e plataformas de hospedagem implementem:

• Salvamento criptografado e seguro de autorizações, nunca em texto plano;
• Avisos automáticos antes de incluir arquivos locais em commits;
• Scans pre-push que detectem tokens e senhas;
• Ferramentas de rotação automática de credenciais quando um vazamento é identificado.

A Anthropic, desenvolvedora de Claude Code, e o GitHub não foram citados com declarações diretas no relatório da Apiiro referido pela ANSA; a reportagem destacou sobretudo a identificação dos arquivos públicos e a necessidade de correções no fluxo de armazenamento.

Conclusão

A falha ligada ao Claude Code expõe como decisões de design em ferramentas de desenvolvimento podem levar a vazamentos de dados quando artefatos locais são inadvertidamente incluídos em repositórios públicos. A investigação da Apiiro, relatada pela ANSA, detectou mais de 100 mil arquivos públicos, incluindo mais de mil com credenciais reais, reforçando a necessidade de práticas rigorosas de segurança por parte de desenvolvedores e empresas.

Fonte: ANSA