Antes de instalar skills, repos ou códigos de terceiros: dois fluxos complementares — scan tático e arquitetura estratégica — para reduzir o risco antes que vire incidente.
Defesa em camadasRepos públicos, skills de terceiros e códigos copiados podem trazer junto credenciais expostas. Rodar um scan rápido antes do uso é uma camada barata que filtra a maioria dos problemas grosseiros — e evita que um token vazado vire um incidente seu.
No arquivo de config do Claude Code (ex.: claude_code_settings.json), adicione o servidor:
"url": "https://api.githubcopilot.com/mcp/", "headers": { "X-MCP-Toolsets": "secret_protection", "X-MCP-Tools": "run_secret_scanning" }
Feche e abra de novo para que os servidores MCP sejam recarregados.
No Claude Code, peça:
Confirme que existe um tool chamado run_secret_scanning.
Corrija qualquer achado antes de fazer fork ou usar a skill.
gh) e Copilot CLI instalados. Não depende de Claude Code.Siga as instruções oficiais e autentique com:
gh auth login
Rode o comando abaixo para habilitar o tool run_secret_scanning:
copilot mcp --toolsets=secret_protection --tools=run_secret_scanning
Para melhor UX — opcional, mas recomendado:
copilot /plugin install advanced-security@copilot-plugins
Dentro do repo local, inicie o chat:
copilot chat
E use um destes prompts:
Corrija antes de qualquer coisa. Não faça fork, não use a skill, não rode o código. Trate todo segredo encontrado como já vazado — rotacione a credencial se for sua.
Use como filtro inicial, não como garantia absoluta. Continue desconfiando de payloads ofuscados, dependências obscuras e scripts postinstall.
Secret scanning não detecta backdoors, código malicioso ofuscado, typosquatting nem prompt injection escondido em comentários. É uma camada — não a única.
Para skills e repos desconhecidos, combine com revisão manual de dependências, leitura de scripts de instalação e execução em ambiente isolado. Veja a aba Arquitetura & Checklist.
Não existe bala de prata via prompt engineering. Segurança real contra prompt injection (direto ou indireto) e skills maliciosas é sistêmica — baseada em Zero Trust e isolamento de privilégios. Três camadas: ambiente, contexto de LLM e governança de código.
Trate toda skill externa como código de terceiros rodando com privilégio de administrador na sua máquina — até que se prove o contrário.
Se o agente for comprometido, ele não pode ter o que roubar nem para onde enviar.
~ inteiro. Só a pasta do projeto. Mantenha .env e tokens fora do container.Para mitigar prompt injection indireto (instruções escondidas em arquivos, PRs, SKILL.md), divida o fluxo em dois modelos com privilégios diferentes:
Se o Analista sofrer injection, o impacto morre no output de texto. O Executor nunca toca no dado bruto.
Mesmo quando dados externos precisam ir direto pro prompt:
<user_input_a8f92b>) — o atacante não consegue fechar a tag.Scanner é só o primeiro filtro. A defesa real é arquitetural — isolamento de execução, dual-LLM e validação estrita de inputs. Rode os dois fluxos juntos antes de instalar qualquer skill ou repo no seu ambiente.