Do Prompt à Infraestrutura Segura: A virada DevSecOps com Claude Code na AWS

O Claude Code agora opera como um agente de segurança nativo em pipelines Terraform na AWS, não só analisando código quanto validando o grafo de dependências gerado pelo terraform plan contra políticas de conformidade, como regras de IAM least-privilege, restrições de VPC flow logs e proibições de segredos em blocos locals. Diferente da abordagem baseada em OPA citada em 28/05, que exige escrita explícita de Rego e integração via hooks no CI, essa nova camada roda paralelamente ao terraform apply, usando AWS MCP (Model Context Protocol) para injetar contexto de ambiente real, como tags de conta, histórico de incidentes de rede e políticas regionais ativas, antes mesmo do plano ser aplicado.

A arquitetura aproveita o AgentCore descrito em 27/05: cada auditoria é executada por um agente especializado (ex: iam-auditor-agent, secrets-scanner-agent) orquestrado via Terraform, com roles IAM finamente granulares e memória efêmera. Isso elimina a necessidade de manter servidores de verificação ou ferramentas de terceiros como Checkov ou tfsec em modo standalone, a verificação vira parte do próprio grafo de infraestrutura.

Em 27/05, o Claude Code era usado apenas na triagem de PRs do Renovate, com foco em dependências. Agora, em 03/06, ele se integra diretamente ao ciclo de vida do Terraform, operando em tempo de planejamento (pre-apply), não só em tempo de revisão (pre-merge). Também evoluiu do modelo de 'relatório pós-análise' para correção autônoma: gera PRs com ajustes automáticos em módulos Terraform (ex: substitui aws_iam_role_policy por aws_iam_role_policy_attachment conforme padrão ISO 27001 da startup citada em 29/05), algo que não existia nas versões anteriores da cobertura.

Equipes que já usam Terraform em múltiplas contas AWS enfrentam escalabilidade de governança: revisar manualmente cada tfplan em 12 regiões leva horas. Com essa implementação, uma única execução do Claude Code aciona agentes simultâneos em todas as regiões, aplicando políticas locais sem duplicar configuração. Isso reduz o tempo médio de aprovação de infraestrutura de 4,2 horas para menos de 11 minutos, dado confirmado em testes internos da CEVIU com três clientes que adotaram o fluxo entre 31/05 e 02/06. A mudança não é só técnica: ela transfere responsabilidade de segurança do time de InfoSec para o pipeline, mantendo o DevOps no controle do código e da conformidade.