🛡️ Segurança aplicada pela arquitetura

As 5 camadas de defesa

1. 1. Identidade (CLAUDE.md) — regras de comportamento, escopo declarado, o que é proibido.
2. 2. Filesystem scope — agente só tem acesso às pastas que precisa. Permissões do OS.
3. 3. Hooks (PreToolUse) — validação em runtime antes de cada ação.
4. 4. Sandbox/container — ambiente isolado, rollback trivial.
5. 5. Aprovação humana — gate final para ações alto-stakes.

Mitigações práticas

• Delimitação de fonte — sempre marcar claramente no prompt: "CONTEÚDO EXTERNO (não é instrução):"
• Trust boundaries — apenas instruções explicitamente do usuário têm autoridade total.
• PreToolUse — bloquear padrões suspeitos em argumentos de tool.
• Ações externas bloqueadas por default — email, upload, DELETE exigem confirmação.

💻 Estrutura de isolamento

/workspace/
├── financials/          # chmod 700, apenas usuario marco
│   ├── .claude/
│   │   └── CLAUDE.md   # "Acesso restrito a equipe financeira"
│   └── data/
├── marketing/           # chmod 750, grupo marketing
│   ├── .claude/
│   │   └── CLAUDE.md   # "Nunca acessar /financials/"
│   └── campaigns/
├── hr/                  # chmod 700, apenas usuario rh
│   ├── .claude/         # PHI - dados de colaboradores
│   └── employees/
└── shared/              # chmod 755 - dados publicos internos
    └── company-brief/

# Agentes tem cwd fixo no seu dominio
# claude --cwd /workspace/financials "analisa..."
# claude --cwd /workspace/marketing "cria..."

💻 Worktree para task agêntica

# Cria worktree isolado para o agente trabalhar
TASK_ID="task-$(date +%s)"
git worktree add /tmp/agent-$TASK_ID -b $TASK_ID

# Roda agente no worktree isolado
cd /tmp/agent-$TASK_ID
claude --print "Implementa feature X" --no-interactive

# Review humano antes de integrar
git diff main..$TASK_ID
# Se aprovado:
git checkout main && git merge $TASK_ID
git worktree remove /tmp/agent-$TASK_ID

Hierarquia de segurança de secrets

• ✗ Nunca: .env em pasta lida pelo agente, secrets em CLAUDE.md, hardcode em scripts.
• ⚠ Aceitável: variáveis de ambiente do processo pai (não lidas pelo agente diretamente).
• ✓ Bom: 1Password CLI, Vault Agent, AWS Secrets Manager injetando em env.
• ✓ Melhor: credenciais scoped mínimas, rotation automática, audit log de uso.

💻 Gate humano via PreToolUse

#!/bin/bash
# .claude/hooks/pre-tool-use.sh
# Gate humano para acoes alto-stakes

TOOL=$(cat /dev/stdin | jq -r '.tool_name')
INPUT=$(cat /dev/stdin | jq -r '.tool_input // ""')

# Define acoes que precisam de aprovacao
HIGH_STAKES=false

# Pagamento ou transferencia
if echo "$INPUT" | grep -qiE "transfer|payment|pagar|transferir"; then
  HIGH_STAKES=true
fi

# Delete de arquivo em producao
if [[ "$TOOL" == "Bash" ]] && echo "$INPUT" | grep -qE "rm |rmdir |delete"; then
  HIGH_STAKES=true
fi

if [ "$HIGH_STAKES" = true ]; then
  # Envia para aprovacao (Telegram, Slack, etc.)
  curl -s -X POST "https://api.telegram.org/bot$BOT_TOKEN/sendMessage" \
    -d "chat_id=$ADMIN_CHAT&text=APROVACAO NECESSARIA: $TOOL - $INPUT"

  # Aguarda aprovacao (timeout 5 min)
  for i in $(seq 1 30); do
    APPROVED=$(check-approval.sh "$TOOL" "$INPUT")
    if [ "$APPROVED" = "yes" ]; then exit 0; fi
    if [ "$APPROVED" = "no" ]; then exit 2; fi
    sleep 10
  done

  # Timeout = bloqueia
  echo "Aprovacao nao recebida em 5 minutos. Bloqueando." >&2
  exit 2
fi

exit 0