Bloqueio Essencial de Arquivos para Assistentes de Codificação de IA: Uma Lista de Verificação Prática de Segurança

Assistentes de codificação com IA apresentam um novo desafio de segurança: eles leem diretamente do seu sistema de arquivos local, não apenas do seu repositório controlado por versão. Isso significa que arquivos protegidos pelo .gitignore de serem enviados para o GitHub permanecem acessíveis ao agente em execução na sua máquina.

Arquivos Principais para Bloquear

Com base em uma auditoria de configuração Node/Firebase da discussão no Reddit, estes são os arquivos críticos que devem ser bloqueados de assistentes de codificação com IA:

• Configurações do Assistente de IA: ~/.claude/settings.json (contém chaves de API do servidor MCP), ~/.cursor/mcp.json
• Credenciais de Serviço: ~/.npmrc (token npm para publicação de pacotes), arquivos JSON de conta de serviço do Firebase (com acesso total ao projeto), ~/.config/gcloud/application_default_credentials.json (credenciais GCP), ~/.git-credentials e ~/.netrc (tokens HTTPS do Git)
• Oversights Comuns: ~/.ssh/id_* (chaves privadas SSH), ~/.bash_history (pode conter tokens colados), arquivos .env e .env.* (gitignore não protege contra agentes locais), arquivos de teste com chaves embutidas, .git/config (pode conter tokens HTTPS), /proc/<pid>/environ (variáveis de ambiente de processos em execução)
• Segredos de CI/CD: Segredos do GitHub Actions, Vercel e outros CI/CD que podem aparecer em logs se ecoados

Preocupações Específicas do Servidor

A discussão observa que em servidores, arquivos adicionais se tornam vulneráveis:

• /etc/environment (variáveis de ambiente globais)
• /etc/ssl/private/* (certificados TLS)
• Arquivos de configuração de banco de dados com strings de conexão contendo senhas
• /var/log/* (logs que podem conter tokens acidentalmente)
• Crontabs com segredos inline em comandos agendados

O problema central destacado é que medidas de segurança tradicionais baseadas em Git como .gitignore não protegem contra agentes de IA lendo arquivos locais. Desenvolvedores precisam implementar bloqueios explícitos para arquivos sensíveis que assistentes de codificação com IA podem acessar durante sua operação.