agente de ia segurança desenvolvedorclaude code segurançacopilot cursor riscos empresaassistente de código executa comandos

É seguro deixar agentes de IA rodarem comandos no computador do dev?

É, se a empresa limitar o que o agente pode fazer. Assistentes como Claude Code, Codex e Gemini executam comandos com as permissões do programador, e um repositório malicioso já conseguiu usar isso para rodar código e roubar chaves. Atualização, permissões mínimas, segredos fora da máquina e revisão do que o agente executa reduzem esse risco.

Por Equipe CyberArmor25 de março de 2026

O que mudou com os agentes de código?

Os primeiros assistentes de programação só sugeriam linhas de código. Os agentes atuais, como Claude Code, OpenAI Codex, Gemini CLI e Cursor, fazem mais: leem a pasta do projeto, editam arquivos, instalam pacotes e rodam comandos no terminal. Eles fazem isso com o mesmo usuário e as mesmas permissões do programador.

Para a empresa, isso muda a conta do risco. O computador do desenvolvedor costuma guardar acesso ao repositório de código, chaves de nuvem, senhas de banco de dados de teste e às vezes de produção. Um agente enganado consegue usar tudo isso, e o antivírus tem dificuldade de separar o comando legítimo do comando induzido, porque quem executa é uma ferramenta autorizada.

Qual foi a notícia sobre as defesas de endpoint?

Em 24 de março de 2026, a Dark Reading publicou uma reportagem sobre uma palestra da conferência RSAC 2026. Oded Vanunu, tecnólogo-chefe da Check Point, apresentou falhas em ferramentas como Claude Code, Codex e Gemini e defendeu que esses agentes passaram por cima de proteções do computador (o endpoint) que a indústria levou anos para construir.

A reportagem trata de agentes legítimos, instalados na máquina do programador e enganados por arquivos de um projeto. O tema dela é o risco da ferramenta autorizada que recebe ordens de quem não deveria.

Como um repositório malicioso conseguiu rodar código na máquina?

O caso mais documentado é o do Claude Code, publicado pela Check Point Research em 25 de fevereiro de 2026. Os pesquisadores mostraram que bastava o programador clonar e abrir um projeto preparado pelo atacante. Os arquivos de configuração do próprio projeto faziam o resto:

Ganchos (hooks). Comandos definidos em .claude/settings.json rodavam automaticamente ao abrir a sessão, sem a confirmação que outros comandos exigem.
Servidores MCP. Servidores declarados em .mcp.json (o protocolo que conecta o agente a ferramentas externas) podiam iniciar antes de o usuário aprovar.
Desvio da chave de API. Uma configuração no projeto mandava as requisições para um servidor do atacante, levando junto a chave de API do usuário.

Segundo a Check Point, todas as falhas foram corrigidas antes da publicação. A entrada da CVE-2025-59536 no NVD informa que versões anteriores à 1.0.111 executavam código do projeto antes da confirmação de confiança, com nota 8.7. A entrada da CVE-2026-21852 informa que versões anteriores à 2.0.65 podiam vazar a chave de API antes dessa confirmação, com nota 5.3.

A lição vale para qualquer agente de código. Arquivos de configuração viajam dentro do repositório, recebem menos atenção na revisão do que o código e podem dar ordens à ferramenta.

Que regras a empresa deve configurar?

A OWASP, fundação que mantém guias abertos de segurança de software, chama esse problema de agência excessiva no item LLM06:2025 Excessive Agency. A recomendação é dar ao agente só as ferramentas e permissões de que ele precisa e exigir aprovação humana para ações de alto impacto. Na prática, isso vira cinco regras.

Quais permissões o agente deve ter?

Comece pelo modo mais restrito. A documentação de segurança do Claude Code descreve um modo em que a ferramenta começa só com leitura e pede aprovação para editar arquivos ou rodar comandos. A mesma página recomenda configurações gerenciadas pela empresa para impor o padrão a toda a equipe, listas de comandos bloqueados e o isolamento de comandos em sandbox (um ambiente fechado, sem acesso ao resto do sistema). Ferramentas de outros fabricantes têm controles parecidos, e vale conferir a documentação de cada uma.

Evite os modos que aprovam tudo automaticamente na máquina do dia a dia. Se a equipe precisa deles, use uma máquina virtual ou um contêiner de desenvolvimento descartável.

Onde ficam os segredos?

Tire da máquina do programador tudo o que não precisa estar lá. Senhas de produção, chaves de nuvem com poder amplo e arquivos .env cheios de credenciais viram alvo de qualquer agente enganado.

Use um cofre de senhas ou gerenciador de segredos e entregue credenciais temporárias.
Dê ao programador chaves de ambiente de teste, com escopo mínimo.
Mantenha produção fora do alcance da máquina de desenvolvimento.

Como revisar o que o agente executa?

Leia o comando antes de aprovar. A documentação do Claude Code deixa claro que o usuário é responsável por revisar código e comandos propostos antes da aprovação.

Inclua os arquivos de configuração de agentes na revisão de código. Pastas como .claude/, .vscode/ e arquivos .mcp.json devem passar pelo mesmo olhar que o código, como recomenda a Check Point Research.

Como tratar projetos de fora?

Repositório de terceiros, código de candidato em processo seletivo ou projeto baixado de fórum deve ser aberto primeiro sem agente, ou dentro de um ambiente isolado. Desconfie de instruções de instalação desproporcionais ao tamanho do projeto.

Quem mantém as ferramentas atualizadas?

As falhas do Claude Code foram corrigidas por atualização. Defina quais agentes são aprovados, mantenha a atualização automática ligada e retire da equipe as ferramentas que ninguém aprovou.

E o antivírus da empresa, não resolve?

O antivírus e o EDR (ferramenta de detecção e resposta no computador) continuam necessários. O ponto da reportagem é que eles enxergam um programa autorizado executando comandos, e isso parece trabalho normal. Por isso o controle precisa estar antes: no que o agente pode fazer, no que ele encontra na máquina e em quem aprova as ações dele.

Se a sua equipe também usa IA para escolher bibliotecas, veja os riscos de IA escolhendo dependências. Extensões de editor também são porta de entrada, como mostra o caso GlassWorm.

Por onde começar na sua empresa?

Comece por um inventário simples: quais agentes de código a equipe usa, em que modo de permissão, e que credenciais existem nas máquinas dos programadores.

Os analistas da CyberArmor fazem esse levantamento no Raio-X do código, que inclui a revisão da esteira, dos segredos e da configuração das ferramentas de desenvolvimento. Para manter as regras funcionando a cada mudança, a Esteira segura acompanhada acompanha a sua equipe de forma recorrente. Se você quer saber primeiro quais ferramentas de IA a empresa inteira usa, o Diagnóstico de uso de IA mapeia isso por 30 dias. Falar com um especialista.

Fontes