Com o aumento da popularidade dos assistentes de IA, os desenvolvedores têm enfrentado mais casos de vazamento de dados confidenciais em repositórios Git públicos, que se misturam com as informações armazenadas pelas ferramentas de IA na árvore de trabalho do projeto. Os assistentes de IA Claude Code, Cursor, Continue, Aider, OpenAI Codex, Copilot, Sourcegraph Cody e Amazon Q criam arquivos de configuração locais e diretórios no diretório raiz do projeto, onde, entre outras coisas, podem ser armazenados históricos de operações e dados de contexto.
Os arquivos armazenados pelos assistentes de IA podem conter chaves de acesso à API, strings de conexão com o SGBD, links para recursos internos e credenciais para acessar ambientes na nuvem, obtidas pelo assistente de IA durante a execução de instruções, após trabalhar com configurações locais ou envolvidas no contexto do projeto. Para o desenvolvedor, a presença desses dados na hierarquia de arquivos do projeto não é evidente, por isso muitos esquecem de incluir os diretórios criados pelos assistentes de IA no arquivo .gitignore e, após publicar as alterações, os movem para o repositório Git público.
Para identificar esses vazamentos em repositórios públicos no GitHub, foi desenvolvida a ferramenta claudleak. Uma varredura teste no GitHub mostrou que, entre os repositórios que possuem subdiretórios com configurações de assistentes de IA, cerca de 2,4% contêm chaves ou credenciais ativas, cuja validade foi confirmada por uma verificação separada. O autor da ferramenta se deparou com o problema ao notar o arquivo “.claude/settings.local.json” em seu repositório, onde, entre as informações, estavam chaves de acesso e senhas transmitidas por meio de variáveis de ambiente.
Os desenvolvedores que utilizam assistentes de IA são aconselhados a adicionar os diretórios .claude/, .cursor/, .continue/, .copilot/ e .aider/ ao arquivo .gitignore, além de configurar sua ignorância através de um filtro global com o comando "git config --global core.excludesfile caminho_do_arquivo_com_lista."
Fonte: opennet.ru
