Claude Code Corrigiu 6 Bugs de Segurança em Agosto. O Log de Auditoria do Seu Agente Ainda Não Pode Provar Nada.

Agosto de 2026 foi um mês agitado para a equipe de segurança da Anthropic. Em um intervalo de três semanas, Claude Code lançou:

• v2.1.236: Fechou uma vulnerabilidade de renomeação de sandbox onde **/.env as regras de negação poderiam ser contornadas renomeando o arquivo negado dentro de uma região de leitura permitida.
• v2.1.238: Isolou headersHelper em .mcp.json para que os scripts auxiliares do MCP não executassem mais com suas credenciais e corrigiu o crescimento de memória não limitado.
• v2.1.243: Corrigiu detalhes ausentes de violação de rede da sandbox — um curl bloqueado que saiu 0 reportaria sucesso enquanto uma página de proxy 403 era silenciosamente ignorada.
• v2.1.246: Corrigiu um bug de escopo de credenciais onde chaves de API configuradas para gateways de terceiros (ANTHROPIC_BASE_URL) estavam sendo enviadas para a Anthropic em cada chamada de telemetria e métricas. Também adicionou avisos para regras de permissão do Bash com curingas antes do subcomando.

Essas são correções reais e sérias. O bug de escopo de credenciais por si só significava que equipes que roteavam Claude Code através de um gateway LLM da empresa estavam vazando a chave desse gateway para um segundo host em cada solicitação de telemetria.

Mas observe o padrão. Cada uma dessas correções é um patch para uma vulnerabilidade específica. Nenhuma delas aborda o problema estrutural subjacente:

Quando um agente de IA toma uma ação, o único registro dessa ação é produzido pelo próprio agente.

A lacuna de autoatestado

Aqui está como um log de auditoria típico de agente se parece em 2026:

{
  "timestamp": "2026-08-25T14:32:01Z",
  "action": "bash",
  "command": "git push origin main",
  "user_approved": true,
  "exit_code": 0
}

Esta entrada de log é gerada pelo tempo de execução do agente. É armazenada pelo tempo de execução do agente. Não é assinada por ninguém. Se o tempo de execução for comprometido — por um servidor MCP malicioso, uma fuga de sandbox, uma injeção de prompt que manipula a lógica de registro do próprio agente, ou um bug de escopo de credenciais como o corrigido na v2.1.246 — o log pode dizer qualquer coisa.

Isso não é teórico. Somente em agosto:

• Um pacote npm malicioso (filesystem-pro-plus) comprometeu 47 organizações, incluindo 3 empresas YC e um laboratório de modelo de fundação, ao distribuir um servidor MCP armado através de typosquatting.
• RufRoot (CVE-2026-59726, CVSS 10.0) afetou um framework MCP de 67.000 estrelas com 10 milhões de downloads, expondo 233 ferramentas sem autenticação a execução remota de código.
• Microsoft UFO (GHSA-24fq-m9rr-g3mm, CVSS 9.4) permitiu controle remoto sem autenticação de dispositivos Android através do MCP.
• O ataque GhostSplice mostrou que dividir uma única instrução maliciosa em vários prompts reduz as taxas de recusa do modelo de 58% para 18%.

Após corrigir cada um desses, como você prova que uma ação específica do agente em um momento específico foi autorizada e não adulterada? Você não pode — não a partir dos próprios logs do agente.

Detecção vs. verificação

A resposta padrão da indústria tem sido a detecção: escanear servidores MCP em busca de vulnerabilidades, sinalizar comportamentos suspeitos, aplicar mecanismos de política a chamadas de ferramentas. Essas são necessárias, mas insuficientes.

A detecção opera com heurísticas. Produz falsos positivos. Pode ser contornada — a Trail of Bits demonstrou em junho de 2026 que cada scanner de habilidades de agente de IA que testaram poderia ser evitado. Um detector que pode ser contornado é um obstáculo, não uma garantia.

A verificação é diferente. A verificação usa criptografia para produzir evidências que não podem ser forjadas pelo próprio agente.

Como é um recibo assinado

Em vez de uma entrada de log autoatestada, imagine que cada chamada de ferramenta produza um recibo como este:

{
  "receipt_version": "1.0",
  "action_id": "act_8f3a2c1d",
  "action_type": "bash",
  "caller_identity": "agent:claude-code-v2.1.246",
  "input_hash": "sha256:b94d27b9...",
  "output_hash": "sha256:a3f5c8e1...",
  "timestamp": "2026-08-25T14:32:01.234Z",
  "prev_receipt_hash": "sha256:7c2e1f9a...",
  "policy_digest": "sha256:d4a7b2c0...",
  "signature": "Ed25519:f8a3c2..."
}

Propriedades principais:

• Assinatura Ed25519 (RFC 8032) sobre JSON canônico RFC 8785 — a chave de assinatura é mantida fora do processo do agente, em um sidecar ou módulo de hardware, para que um agente comprometido não possa forjar assinaturas.
• Hashes de entrada/saída vinculam o recibo exatamente ao que foi executado e ao que retornou — você não pode alterar o comando ou o resultado depois do fato.
• Hash do recibo anterior cria uma cadeia de hashes — excluir ou reordenar um recibo quebra a cadeia e é imediatamente detectável.
• Digest de política vincula a ação à versão exata da política que a autorizou — quando a Anthropic lançar a v2.1.247 com novas regras de permissão, você saberá contra qual política cada ação foi avaliada.
• Zero falsos positivos — um recibo ou verifica contra a chave pública e a cadeia conhecidas, ou não verifica. Não há "pontuação de anomalia" ou limite heurístico.

O verificador que checa esses recibos é Python puro, zero dependências, 157 testes, e verifica um recibo de ponta a ponta em P50 ~27 mi