Um clique em “Sim, e não perguntar novamente” no Claude Code pode deixar senhas e chaves de API em texto claro dentro de um arquivo do projeto — e pesquisadores encontraram 1.122 cópias públicas desse arquivo no GitHub com pelo menos um segredo dentro. A descoberta é da empresa de segurança Apiiro, em pesquisa publicada em 5 de novembro de 2026 e divulgada pelo The Hacker News em 7 de novembro.
Como um segredo vai parar no arquivo
O mecanismo é simples. Por padrão, o Claude Code pergunta antes de executar a maioria dos comandos de terminal. Quando o desenvolvedor escolhe “Sim, e não perguntar novamente”, a ferramenta salva uma regra de permissão no arquivo .claude/settings.local.json, dentro do projeto. Se a regra vale para um comando exato — e não para um padrão genérico —, qualquer senha ou token digitado nesse comando é salvo junto, palavra por palavra, em texto claro.
O que a Apiiro encontrou
A Apiiro varreu o GitHub público e encontrou 104.185 cópias desse arquivo em 103.617 repositórios. Cerca de 1,1% delas — 1.122 arquivos — continham ao menos um segredo, somando 1.379 credenciais distintas: 379 senhas de bancos de dados, 43 logins SSH para servidores públicos, 42 tokens de GitHub, GitLab e npm e 23 chaves da AWS. Entre os donos dos arquivos estão 63 organizações, a maioria empresas de software. Um dos casos mais graves envolve a chave de nuvem de nível administrativo do próprio fornecedor de um banco de dados e a senha do dono de um banco de dados de prontuários médicos. Uma das empresas notificadas confirmou que sua chave vazada ainda estava ativa.
O problema não se limita às cópias atuais do arquivo. No histórico do Git, os pesquisadores acharam outros 734 segredos em 509 repositórios, e 211 forks de 74 repositórios carregam os mesmos segredos dos originais. Contando ainda o arquivo compartilhado .claude/settings.json e transcrições de chats de agentes salvas em repositórios, o total chega a 2.539 segredos em 1.994 repositórios. Em metade dos repositórios afetados, o arquivo estava público há pelo menos 217 dias.
O Claude Code tenta manter o arquivo fora do Git: na primeira vez que o escreve em um repositório, ele o adiciona às exclusões globais do Git do usuário. Mas essa proteção fica nas configurações daquele computador e não viaja com o projeto, porque o arquivo nunca é adicionado ao .gitignore do próprio repositório. Em 539 dos 1.105 repositórios rastreados, um commit com o Claude como coautor havia alterado o arquivo — indício de que o próprio agente frequentemente faz o commit dele.
Por que os scanners não pegam tudo
Os scanners de segredos mais comuns também não resolvem o problema sozinhos: o gitleaks sinalizou 564 dos 1.122 arquivos e o TruffleHog, 643 — mas 215 não foram detectados por nenhum dos dois, geralmente porque a senha estava digitada no meio de um comando, como após PGPASSWORD=, sshpass -p ou mysql -p. De 16 agentes de programação cuja documentação a Apiiro comparou, o Claude Code foi o único confirmado a salvar o comando aprovado completo em um arquivo do projeto por padrão.
O que fazer agora
A recomendação dos pesquisadores é girar as credenciais antes de qualquer limpeza: procure na sua organização por .claude/settings.local.json e .claude/settings.json, inclusive no histórico do Git; troque todas as senhas, tokens e chaves que esses arquivos já contiveram; remova o arquivo do controle de versão com git rm --cached e adicione-o ao .gitignore do repositório; e passe a referenciar segredos por variáveis de ambiente, como $DB_URL, em vez de digitá-los nos comandos. Aprovar padrões, como Bash(npm run:*), em vez de comandos únicos, também reduz o risco.
Um problema conhecido desde 2025
O comportamento já era conhecido: usuários relatam o problema no GitHub do Claude Code desde agosto de 2025, e o primeiro relato, de 11 de agosto de 2025, dizia que comandos aprovados com chaves de API eram armazenados integralmente no arquivo. Segundo a Apiiro, os quatro relatos relacionados foram fechados automaticamente por um bot por inatividade — o mais recente em 6 de novembro — sem resposta da Anthropic até a publicação da reportagem. A Apiiro ressalta que não testou se as credenciais encontradas ainda funcionam.
Leia também no Geekiki: Plugin Xcode da Apple chega ao Claude Code.
Crédito da imagem: The Hacker News.
Fontes:
- The Hacker News — Claude Code's “Don't Ask Again” File Exposes Passwords and Keys in 1,122 Public Copies on GitHub
- Apiiro — Secure your agentic development (pesquisa original)
Transparência: esta matéria foi produzida com auxílio de inteligência artificial, com cruzamento de publicações públicas e fontes da internet. Consulte sempre as fontes originais citadas.
Muse
