Segurança e Governança de IA: Guia de Uso Seguro

Se você coloca vários sites em um repositório e põe um CLAUDE.md ou um AGENTS.md na pasta de cada site, não há garantia de que essas regras sejam lidas antes de o trabalho começar. O Claude Code carrega um CLAUDE.md abaixo da pasta de inicialização quando o Claude lê, escreve ou edita um arquivo daquela pasta, enquanto o Codex lê só os AGENTS.md da raiz do projeto até a pasta de inicialização, uma vez no início de cada execução. Este artigo compara, item por item, como as duas ferramentas carregam esses arquivos e como verificar se foram carregados (o /context mostra só o que foi carregado ao iniciar), e depois explica uma verificação que interrompe a publicação se algo fora da pasta atribuída mudar e configurações das ferramentas que bloqueiam a escrita. Também mostra como diferenciar repositórios de nomes parecidos pela URL remota e pelo commit raiz, e comandos que exibem só os nomes das variáveis de ambiente (consultado em 1º de novembro de 2026).

Mostra como colocar o Codex e o Claude Code em modo somente leitura no app, na IDE, no Desktop, no VS Code, na Web, no celular e na CLI. Você entende a diferença entre somente leitura e Plan, o alcance das configurações, as restrições de ferramentas, os pedidos prontos para usar e como conferir as diferenças. O texto também indica o que continua possível, como a leitura de segredos e as mudanças em serviços externos.

Entenda a diferença entre negação de leitura, separação do ambiente, aprovações e rede no Codex. O artigo traz um exemplo de perfil de permissões, regras para arquivos .env, variáveis de ambiente, limites de cada sistema operacional e como testar a negação com arquivos fictícios.

Antes de escolher o Codex Security, compare o plugin local, o Cloud conectado ao GitHub e a CLI independente. Com base na documentação oficial, este guia explica a cobrança separada do Cloud, os créditos gratuitos sujeitos a condições, a configuração inicial e a escolha entre Standard e Deep. Também mostra como ler a cobertura, as evidências de reprodução e a verificação das correções, além de quando a CLI usa uma chave API do ambiente e como funciona o limite estimado de custo.

Os mods do Claude Code (Claude Mods) são plugins que executam funções em JavaScript ou TypeScript dentro do Claude Code, adicionados oficialmente na v2.1.287, em 1º de outubro de 2026. Este artigo explica como funciona um mod de três arquivos, como ele se diferencia dos hooks tradicionais escritos no settings.json, das skills e do MCP, o que os mods fazem, como desenhar painéis na interface, criar comandos que rodam sem esperar e segurar uma chamada de ferramenta para perguntar ao usuário, e limites como o tempo de execução, tudo com base no texto original da documentação oficial consultado em 5 de outubro do mesmo ano. Um mod roda com as suas permissões, fora do sandbox, e pode sobrepor decisões de permissão. Uma tabela mostra que as regras deny valem no Team ou no Enterprise ou em uma máquina com managed settings, mas que, em um plano pessoal, um mod pode aprovar até chamadas que uma regra deny recusou. O artigo também traz os resultados da leitura do código dos três mods de exemplo oficiais da Anthropic e da contagem das APIs que eles usam, como ler o claude plugin validate antes de instalar, como testar mods, pedir ao Claude que crie um e desativá-los, onde os mods rodam e quais são os embutidos, além de um checklist antes de instalar.

Dá para entregar o desenvolvimento às sessões na nuvem do Claude Code sem abrir um novo caminho até a produção: mantenha o código em um repositório privado do GitHub, instale o Claude GitHub App só nesse repositório e faça o servidor de produção apenas puxar o código com uma deploy key somente leitura. Este artigo é o meu registro de quando comecei a usar as sessões na nuvem em um projeto de desenvolvimento separado, em 4 de outubro de 2026, conferido com o texto original da documentação oficial nessa data. Ele explica que o claude --cloud sem GitHub envia o histórico de todas as branches mais as alterações não commitadas em arquivos rastreados (no Windows, seja qual for o nome do arquivo), como resolver quando outra conta do GitHub está conectada, o "Only select repositories" e por que repositórios públicos aparecem na lista, por que criar um ambiente novo para cada projeto, já que quem usa um ambiente consegue ler as variáveis de ambiente dele, que os arquivos locais ficam invisíveis e que o Accept edits na nuvem para em cada comando enquanto o Auto segue em frente, tudo reunido em um checklist para antes de começar. Também traz um caso real em que uma única instrução executada de forma autônoma consumiu US$ 226 do crédito por tempo limitado antes de eu mandar parar no meio, por que o crédito acaba tão rápido e formas de reduzir o custo.

Mesmo no plano Pro pessoal, as conversas e o código do ChatGPT e do Codex são usados para treinamento por padrão. Você vai ver que a configuração do ChatGPT também vale para novas tarefas do Codex, enquanto o treinamento com ambientes tem um controle separado. O guia reúne o que não enviar, o que fazer se dados confidenciais forem enviados e as exceções de exclusão e avaliação.

Se as suas conversas no Claude Code são usadas para treinar modelos de IA depende do seu plano e da configuração da sua conta. Nos planos de consumidor Free, Pro e Max, seus dados só são usados para treinamento enquanto a configuração de melhoria do modelo, nas configurações de privacidade do claude.ai, estiver ativada (guardados por 5 anos), e desativá-la interrompe o treinamento (guardados por 30 dias). A configuração pertence à sua conta, então não é preciso mudar arquivos de configuração no computador onde o Claude Code roda. Com base no texto original da página "Data usage" da documentação do Claude Code, do Privacy Center da Anthropic e da página "API and data retention" do Claude Platform em 4 de outubro de 2026, este artigo mostra onde fica a configuração e como desativá-la, por que desativar não remove seus dados de treinamentos anteriores, como são tratados as avaliações 👍👎, o /feedback e as conversas sinalizadas como violação da política, e o treinamento e a retenção por plano, incluindo Team, Enterprise, a API e o Bedrock. Também explica que as entradas e saídas da API não são usadas para treinamento por padrão e são excluídas em até 30 dias, o que o ZDR cobre e por que Covered Models como o Fable exigem 30 dias de retenção, as variáveis de ambiente que param as métricas de uso e os relatórios de erro enviados à parte do treinamento, as transcrições guardadas em texto puro no seu próprio computador e como escolher a configuração para trabalho confidencial.

Se o Claude Code mostrar "API Error: Opus 5.5's safeguards flagged this message" ou "safeguards flagged this session", um classificador de segurança acoplado ao modelo reagiu ao conteúdo da conversa e impediu que aquele modelo respondesse. Os títulos das Issues também chamam isso de "Message flagged by safeguards". Os classificadores rodam no lado do servidor e olham não só a sua última frase, mas a conversa inteira, os arquivos lidos e até o CLAUDE.md; por isso, uma mensagem comum como "hi" pode ser barrada, e a Anthropic reconhece os falsos positivos. Com base na referência de erros oficial, na documentação de configuração de modelos, na página Refusals and fallback da API e na Central de Ajuda, explicamos o que significam as categorias cyber, bio, reasoning_extraction, general_harms e frontier_llm do campo Details, quando o Claude Code troca automaticamente para outro modelo e quando simplesmente para, como usar Esc duas vezes para voltar, /clear, /model, --safe-mode e /feedback, a ampliação do CVP de 6 de outubro de 2026 para três níveis que cobrem também o Opus 5.5 e o Sonnet 5.5, e como as solicitações barradas são cobradas. Os relatos no GitHub desde 22 de setembro ficam separados das explicações oficiais e são tratados como casos não confirmados.

As demais disposições do EU AI Act se tornaram de aplicação geral em 2 de agosto de 2026 e, com elas, veio uma onda repentina de avisos de que publicar um artigo escrito por IA sem rótulo passou a ser ilegal. A resposta curta é que, para a maioria dos criadores independentes e dos blogs corporativos, não surge nenhum dever de divulgação. O Artigo 50(4) diz com todas as letras que o dever não se aplica quando o conteúdo passou por revisão humana ou controle editorial e alguém assume a responsabilidade editorial pela publicação. O texto legal para aí; a orientação prática sobre o Artigo 50 acrescenta que a revisão precisa ser substantiva e não pode se limitar a aspectos superficiais ou a uma aprovação meramente formal, de modo que publicar automaticamente um texto que ninguém leu dificilmente se enquadra. Este artigo percorre por que prestador (provider) e responsável pela implantação (deployer) têm deveres completamente distintos, por que a divulgação do texto gerado por IA depende da finalidade da publicação e não do tema, o dever de divulgação dos deepfakes e o tratamento atenuado das obras artísticas e satíricas, o aviso dos chatbots, por que a marcação legível por máquina como o C2PA Content Credentials é obrigação do prestador, e os prazos de 2 de dezembro de 2026 e 2 de fevereiro de 2027, sempre restrito ao que foi possível confirmar no texto legal e nos materiais da Comissão Europeia.

Uma afirmação geral não responde à pergunta "se a IA consegue editar as coisas direto, ainda precisamos de um painel de administração?", porque a mesma expressão "painel de administração" cobre um amontoado de funções de naturezas completamente diferentes. Este artigo, ancorado na experiência de apagar por inteiro o painel deste site, troca essa pergunta por uma mais afiada: essa tela oferece algo que a CLI e a IA já não estão oferecendo? O que apagar tudo revelou é que a maior parte das funções removidas não estava "sem uso", e sim "estruturalmente quebrada". O CRUD de artigos nunca teve como funcionar, porque a fonte da verdade dos artigos mora no código e cada deploy sobrescreve o banco de dados, então tudo que era editado na tela sumia no deploy seguinte. A fila de aprovação de comentários estava sempre vazia porque a implementação marcava a publicação como aprovada já no envio, de modo que um comentário não aprovado nunca chegava a existir. Uma função que ninguém usa é uma função cujo defeito ninguém consegue perceber. A única capacidade que não podia ir embora era a exclusão de comentários, e mesmo essa não tinha necessidade nenhuma de ser um painel de administração: um botão de excluir na própria página do artigo se mostrou melhor, porque o comentário problemático pode ser removido exatamente onde está sendo lido. A decisão se resume a seis perguntas. Quem opera (pessoas não técnicas ou um papel que troca de mãos pedem uma UI; desenvolvedores que vivem no terminal, não). É reversível (ações irreversíveis precisam de um portão). Exige julgamento humano (existe uma transição de estado de aprovar ou rejeitar). É preciso separar permissões. Quem opera sabe o que é possível (a listagem faz as vezes de documentação). Existe trilha de auditoria. Permissões e trilha de auditoria em especial parecem desnecessárias num projeto solo e viram os primeiros requisitos no instante em que uma segunda pessoa chega. Mudanças feitas via código caem no git, mas deixar uma IA escrever direto no banco de dados não registra nada por padrão, e um log de conversa preserva o que foi pedido, não o que aconteceu. Dos seis eixos, só a reversibilidade carrega um peso diferente. Em 18 de julho de 2025, um agente de IA do Replit apagou o banco de dados de produção da SaaStr durante um congelamento de código em vigor, fabricou 4.000 usuários e afirmou incorretamente que o rollback era impossível, atrasando a recuperação (AI Incident Database #1152) — um caso que mostra menos o perigo da IA e mais um problema de desenho em que uma ação irreversível podia ser alcançada sem passar por um portão humano. O artigo cobre ainda as três coisas a arrumar antes de passar peso para a IA e a CLI (as mudanças deixam um artefato durável, existe um degrau na frente das ações irreversíveis, o procedimento está escrito, já que apagar a UI também apaga a lista do que é possível fazer), uma checklist para rodar antes de construir qualquer coisa e a terceira opção dos produtos de ferramentas internas como Retool e Forest Admin em vez de escrever um painel à mão.

O Dispatch é o recurso em que você manda uma instrução pelo celular e o Claude executa o trabalho no seu próprio computador (beta, planos Pro e Max). Ele não roda na nuvem; é a sua máquina real que se mexe, e esse fato único produz tanto o valor quanto o perigo. A ajuda oficial diz que você pode mandar uma mensagem ao Claude pelo celular e fazer com que ele trabalhe no seu computador de mesa, usando os mesmos conectores, plugins e acesso a arquivos que você já configurou no Cowork, dentro do que a Anthropic enquadra como uma conversa contínua acessível a partir de qualquer um dos aparelhos. Para funcionar, ele exige o PC acordado e com o aplicativo de desktop aberto, e o uso do computador tem suporte apenas em macOS e Windows, sem uso do computador no Linux. Mecanicamente ele desce por três níveis de prioridade: um conector, se houver um disponível; navegação no navegador, se não houver; e interação direta com a tela como último recurso, com capturas de tela tiradas pelo caminho para entender o que está exibido. A avaliação começa depois disso. Os lugares em que ele para são projetados: o uso do computador vem desligado por padrão e é habilitado em Settings, General; a permissão é pedida para cada novo aplicativo; excluir um arquivo em definitivo exige permissão explícita; e plataformas de investimento e negociação e aplicativos de criptomoedas estão fora de alcance por padrão. Mas há lugares em que ele não para. Ações individuais dentro de um aplicativo já aprovado não são confirmadas com você, e o texto oficial diz que o Claude clica, digita e navega na sua tela diretamente, sem as verificações de permissão que controlam as outras ferramentas do Cowork. A documentação acrescenta que não há sandbox entre o Claude e o que está na sua tela, e que ações tomadas em um aplicativo podem impactar outros aplicativos. O maior risco é a injeção de prompt, que a Anthropic descreve com as próprias palavras: o conteúdo da web é um vetor primário de ataques de injeção de prompt, e uma instrução manipulada, um comando inesperado ou um link de phishing aberto no seu navegador podem desencadear ações difíceis ou impossíveis de desfazer. A Anthropic diz que examina as ativações do modelo para detectar esse tipo de comportamento, mas isso reduz as chances em vez de eliminar a necessidade de você traçar uma linha, e a orientação continua mandando mudar para aprovação manual sempre que uma tarefa tocar arquivos, contas ou sites sensíveis. A Anthropic nomeia o limite sem meias-palavras: não dê à permissão de uso do computador acesso a aplicativos sensíveis, como os de bancos, saúde e governo, e evite contas financeiras, documentos jurídicos, informações médicas e dados pessoais. O artigo também cobre o lado do celular. O que vaza se você perder o aparelho não são os dados guardados nele, e sim a prerrogativa de instruir o seu PC, mais o conteúdo da conversa contínua — e a ajuda oficial do Dispatch não documenta desemparelhamento nem o que fazer com um aparelho perdido, então os remédios vêm do lado da conta: encerrar a sessão individual em Settings, Account, Active sessions; desconectar todas as sessões pelo claude.ai (o que não está disponível nos aplicativos móveis e portanto exige um navegador web); ou simplesmente cortar o lado do PC fechando o aplicativo de desktop ou deixando a máquina suspender, o que é de fato o mais rápido, já que o Dispatch precisa do PC acordado e do aplicativo aberto. Ele encerra separando o Dispatch do uso do computador como dois interruptores distintos, distinguindo ambos do agent view do Claude Code (que a documentação oficial também chama de dispatch) e traçando uma linha prática: comece por trabalho que dá para desfazer.