Dev defende dar segredos de produção a agentes de código

A tese: agentes de código com segredos de produção

O engenheiro Jake Gold relata que agora dá aos seus agentes de código acesso direto a segredos importantes, incluindo a chave de autenticação do Tailscale, chaves privadas de SSH, tokens OAuth da Anthropic e do Codex e a senha de aplicativo do Gmail. Ele sustenta a posição em décadas de experiência com datacenters, infraestrutura Linux, segurança de rede e construção de sistemas de produção, incluindo uma plataforma de agente de código usada por centenas de milhares de pessoas - o que, segundo ele, o leva a entender os riscos envolvidos.

Segurança como troca entre produtividade e risco

O argumento central é que segurança é sempre um equilíbrio entre produtividade e risco. Com acesso à produção, os agentes podem investigar interrupções, ler logs, implantar correções e verificar se funcionaram. Sem esse acesso, essas etapas ficam para ele mesmo, o que reduz bastante a velocidade. Ele compara a decisão a dar acesso a colegas de equipe inexperientes: sabe que um novo integrante pode instalar malware ou cair em phishing, mas ainda assim concede o acesso necessário para o trabalho.

Modelos de fronteira são mais difíceis de enganar

Gold usa exclusivamente Claude e Codex, reservando modelos de fronteira como Astra e Fable para problemas difíceis e Opus e Sol para tarefas rotineiras. Ele afirma que não daria esse nível de acesso a modelos mais antigos, mas que se preocupa menos com injeção de prompt nos modelos atuais, que estão melhor em distinguir instruções do usuário de instruções maliciosas no conteúdo lido. Segundo ele, a Anthropic reportou melhorias vindas de treinamento de modelos e de verificações adicionais no Claude Code.

Ele faz ressalvas importantes. Seu setup reúne as três condições da "trifeca letal" de Simon Willison: acesso a dados privados, leitura de conteúdo não confiável e comunicação externa - o que, em teoria, permitiria a um atacante esconder instruções em uma página ou arquivo para induzir o agente a entregar segredos. Ele também alerta que a prática só vale para a base de código própria e confiável: abrir um projeto aleatório do GitHub com esse acesso seria ideia muito ruim, e o risco de scripts maliciosos em projetos de terceiros existia antes dos agentes.

Isolamento com Docker, mas não como defesa principal

Mesmo confiando nos agentes com segredos, ele os executa em contêineres Docker isolados, cada um com seu próprio checkout, para que possam rodar servidores de desenvolvimento sem atrapalhar uns aos outros e sem exigir o gerenciamento de Git worktrees ou limpeza de processos e arquivos. Os agentes ainda erram, como rodar rm -rf no diretório errado, então ele raramente os executa fora de contêineres. Porém, ele diz não depender dos contêineres para impedir um agente malicioso ou sequestrado de causar dano, já que eles têm acesso a segredos e a máquinas de produção.

Contra o argumento de mínimo privilégio

Gold reconhece que o ideal seria o princípio do menor privilégio, dando a cada agente apenas o acesso necessário à tarefa, e admite que pode chegar o momento em que haja controle fino o suficiente para tornar isso prático. Mas critica quem trata a simples ocultação de credenciais como se eliminasse o maior risco: um agente que nunca vê a chave SSH privada, mas obtém shell root no servidor de produção, ainda pode destruir o sistema. Proxies podem limitar acesso, facilitar revogação e dar trilha de auditoria, mas não resolvem o problema se o agente mantém acesso root.

Sua conclusão: supor que sempre serão necessários controles rígidos é, em algum nível, apostar contra a melhoria contínua e dramática dos modelos. À medida que os modelos melhorarem, podemos acabar confiando nos agentes acesso até mais do que confiamos em nós mesmos.