Marc Sureda
O desenvolvimento de software passou por uma transformação significativa desde 2021, estabelecendo uma tendência em que o volume de credenciais expostas cresce a um ritmo 1,6 vezes superior ao aumento do número de programadores em atividade. Esta dinâmica histórica foi fortemente acelerada pelas recentes mudanças tecnológicas na criação de código. De acordo com os dados extraídos da quinta edição do relatório sobre o estado da propagação de credenciais publicado pela empresa GitGuardian, os envios de código para repositórios públicos registaram um aumento anual de 43% ao longo do último ano, um valor que duplica os registos de anos anteriores.
Este aumento na atividade operacional, facilitado pelos novos assistentes de programação, teve um impacto direto na segurança corporativa. Durante 2025, o aumento anual de novas credenciais vazadas atingiu 34%, impulsionado pela integração massiva da inteligência artificial, totalizando cerca de 29 milhões de deteções. Este número representa o maior salto anual registado até à data na exposição de identidades e senhas não humanas, afetando tanto sistemas de acesso público como redes de uso interno.
A análise detalhada das soluções de automação revela dinâmicas específicas que aumentam o risco para as empresas de forma quase imediata. As contribuições de código assistidas por ferramentas de IA apresentaram uma taxa de fuga de informação sensível que duplicou a média habitual do setor. Um exemplo concreto avaliado no relatório é o do assistente Claude Code, cujos envios vazaram credenciais em 3,2% dos casos. A acessibilidade atual do desenvolvimento de software permite que perfis com menos formação técnica criem aplicações rapidamente, mas também facilita que se ignorem os avisos de segurança ou que se instrua explicitamente as plataformas para que incluam dados confidenciais. Tornando o erro humano num fator determinante por trás destas fugas. Paralelamente, as fugas associadas diretamente a serviços de inteligência artificial cresceram 81% em relação ao ano anterior, ultrapassando os 1,27 milhões de incidentes. Estes apresentam uma maior dificuldade em serem localizados, uma vez que ficam fora das proteções concebidas para os fluxos tradicionais.
A este cenário junta-se a vulnerabilidade detetada nas configurações de servidores baseados no protocolo de contexto de modelos (MCP). A própria documentação técnica destes sistemas sugere frequentemente a inclusão de credenciais diretamente nos ficheiros de configuração, em vez de utilizar métodos de autenticação mais seguros a partir do cliente. Uma prática que levou à exposição de mais de 24 000 identificadores únicos. No entanto, o problema transcende o âmbito estritamente aberto. Além disso, os repositórios internos das organizações apresentam uma probabilidade seis vezes maior de conter chaves incorporadas do que os sistemas públicos. O perímetro de segurança também se expandiu para outros ambientes empresariais quotidianos, uma vez que cerca de 28% dos incidentes têm origem em fugas ocorridas dentro de aplicações de produtividade e ferramentas de colaboração. Onde os acessos ficam visíveis para mais pessoas, automatizações ou agentes autónomos.
As próprias equipas de TI responsáveis pelo desenvolvimento passaram a fazer parte do perímetro de segurança crítico. À medida que os agentes de automatização requerem maiores permissões para operar a nível local com editores, terminais ou armazenamentos de senhas, aumenta o risco de que técnicas como a injeção de instruções maliciosas ou os ataques à cadeia de abastecimento comprometam toda a rede corporativa. A partir da direção executiva da GitGuardian, Eric Fourrier afirma: “Os agentes de IA precisam de credenciais locais para se conectarem entre sistemas, o que transforma os portáteis dos programadores numa grande superfície de ataque. Por isso, desenvolvemos uma ferramenta de varredura local e de inventário de identidades para a sua proteção. As equipas de segurança devem saber exatamente quais as máquinas que armazenam quantas e quais credenciais, para detetar vulnerabilidades críticas, como acessos excessivos ou chaves de produção expostas”
Para fazer face a esta situação, a empresa desenvolveu um sistema de análise e inventário de identidades a nível local, argumentando que os departamentos de segurança precisam de saber exatamente quais os equipamentos que armazenam que tipo de informação para identificar vulnerabilidades graves, como o excesso de permissões ou a exposição de acessos a ambientes de produção.
Desafios persistentes na gestão e revogação de acessos
Apesar da evolução nas ferramentas de criação, o setor informático mantém deficiências estruturais na administração de identidades não humanas. Aproximadamente 60% das falhas de segurança continuam a estar ligadas a credenciais de longa duração ou de acesso permanente. Demonstrando que a transição para modelos de permissões temporárias e de privilégio mínimo avança de forma consideravelmente lenta. A avaliação do nível de risco complica-se ainda mais ao verificar-se que quase 46% das credenciais consideradas críticas não permitem uma validação automática por parte dos fornecedores. O seu grau de periculosidade só pode ser determinado através da análise do contexto do seu armazenamento, da natureza da sua utilização, das dependências operacionais e do seu nível de proteção em gestores especializados.
Por fim, os dados históricos revelam uma ineficácia notável nos processos corporativos de resposta a incidentes. O problema agrava-se ao constatar que 64% das credenciais detetadas como expostas no ano de 2022 continuam ativas em 2026. Esta situação alarmante atribui-se fundamentalmente à falta de procedimentos claros, sistemáticos e eficazes por parte das equipas de segurança para revogar definitivamente os acessos comprometidos. Perante este cenário, as conclusões da análise apontam para que a próxima etapa da cibersegurança corporativa passe pela gestão das identidades não humanas com o mesmo rigor que os ativos críticos tradicionais, aplicando políticas de governança concretas, dotando-as de contexto operacional e implementando respostas automatizadas tanto dentro como fora do código-fonte.
