IA vaza os segredos do código da sua empresa mais rápido do que nunca
Quando você escreve um programa de computador, muitas vezes quer que ele acesse coisas privadas, tipo um banco de dados ou um serviço pelo qual você está pagando. Se fosse um humano, você poderia pedir a senha. Mas um programa precisa de um segredo de acesso para que um humano não tenha que apertar um botão o tempo todo.
Existem maneiras de fazer isso sem simplesmente colocar a senha no código do programa. São meio complicadas, mas qualquer programador competente deveria ter experiência com elas.
Só que chatbots não são programadores competentes. Então, o que os robôs de programação não param de fazer é colocar o segredo de acesso bem ali, no meio do código.
E se o repositório do seu programa for público, você acabou de revelá-lo para o mundo inteiro.
A GitGuardian publicou seu relatório “State of Secrets Sprawl” em março, resumindo os vazamentos de credenciais em 2025. A segurança de segredos com IA é um lixo:
Em 2025, encontramos 28,65 milhões de novos segredos “hardcoded” [escritos diretamente no código] em novos commits públicos no GitHub. Isso não é cumulativo. Foi só o número de segredos adicionados em 2025. Isso marca um aumento de 34% em relação ao nosso relatório anterior, que cobria 2024, registrando o maior salto anual que já vimos.
A GitGuardian coloca a culpa firmemente na programação com IA:
Oito dos dez tipos de segredos vazados que tiveram o maior aumento ano após ano estão ligados a serviços de IA. A infraestrutura de LLM […] está vazando cinco vezes mais rápido do que os provedores de modelos principais. Apesar das salvaguardas da IA, desenvolvedores que dependem do Claude Code para produzir código e co-assinar commits vazam segredos a uma taxa duas vezes maior que a taxa de referência.
A maior quantidade de vazamentos veio do Claude Code e do OpenClaw.
Repositórios internos, restritos à sua empresa, têm cerca de seis vezes mais segredos do que os repositórios públicos. Isso é tolerável até que algo vaze — digamos, você instale um pacote npm infectado no seu notebook de trabalho.
Pior ainda é quando você contrata um consultor. Quando a Red Hat foi atingida pelo grupo de hackers Crimson Collective, em setembro do ano passado, e eles conseguiram acesso à instância do GitLab da Red Hat Consulting, a Red Hat não mencionou ao divulgar o incidente que os atacantes levaram um monte de credenciais e segredos que pertenciam aos clientes da Red Hat. Porque a Red Hat Consulting simplesmente tinha commitado os segredos dos clientes no repositório.
Detectar os segredos vazados não é suficiente. Parece que ninguém conserta os vazamentos:
64% dos segredos vazados em 2022 continuam válidos e vulneráveis até hoje.
O que fazer em relação a isso? Primeiro, você entende o problema local. Depois, você configura seus processos para dificultar o commit de segredos e garante que os desenvolvedores entendam o problema.
O problema é que a programação com IA está criando os chamados “desenvolvedores” que, literalmente, não conseguem trabalhar sem o robô. O chatbot é uma caixa mágica. Quando o Claude teve uma queda de um dia inteiro, esses eram os caras que não conseguiam fazer absolutamente nada.
Você pode fazer os devs assinarem algo assumindo total responsabilidade por todos os commits, mas esse pedaço de papel não faz nenhum trabalho de segurança.
A única solução real que eu consigo enxergar vindo por aí é a programação com IA ficar cara demais e os desenvolvedores de IA terem que reaprender a programar.
Mas, além disso, sua empresa tem que ligar mais para a segurança do que para a conveniência. Boa sorte com isso.
Publicado originalmente no Pivot to AI em 1º/7/2026.