Como o sequestro de repositórios ameaçou os plugins comunitários do Claude da Anthropic e o papel dos hashes SHA na proteção

O sequestro de repositórios (repo-jacking) nos plugins comunitários do Claude Code não foi um incidente isolado, mas parte de uma onda mais ampla de ataques à cadeia de suprimentos de IA em 2025, 2026. Como demonstrado por John Stawinski, o ataque explorou a fragilidade de referências dinâmicas em marketplace.json: caminhos como oduffy-delphi/deep-research-claude continuavam apontando para um namespace abandonado no GitHub, permitindo que um invasor registrasse o nome e hospedasse código controlado sob o manto da confiança da Anthropic. O risco real não estava na instalação automática, protegida por hashes SHA-256 fixos em cada entrada , , mas no fluxo de interação humana: o botão 'Open Homepage' redirecionava usuários diretamente para o repositório comprometido, sem aviso, em pleno contexto de configuração de plugin.

Esse vetor foi confirmado como crítico por outras descobertas recentes: a equipe 0Din da Mozilla revelou em junho de 2026 um exploit de injeção indireta de prompt que engana ferramentas como o Claude Code ao abrir repositórios maliciosos; a Check Point Research já havia identificado em fevereiro de 2025 vulnerabilidades (CVE-2025-59536 e CVE-2026-21852) que permitem execução remota de código e roubo de chaves de API via arquivos de configuração. Campanhas como 'GlassWorm', ativas entre outubro de 2025 e junho de 2026, usaram exatamente esse padrão: repositórios envenenados + extensões de IDE + prompts maliciosos para extrair credenciais da Anthropic e migrar para nuvem corporativa.

Isso importa porque os plugins do Claude Code não são simples extensões, são agentes capazes de acessar arquivos locais, executar comandos, chamar APIs e ler variáveis de ambiente. Um repositório comprometido não precisa de exploração técnica sofisticada: basta um README com instruções falsas ('copie este comando para ativar suporte premium') ou um arquivo .claude-config que injete prompts maliciosos durante a inicialização. A confiança implícita no marketplace oficial da Anthropic é o que torna o ataque eficaz, o usuário não está buscando malware, está configurando uma ferramenta legítima. E a falha de hash não é teórica: em outubro de 2025, um pacote oficial Anthropic.Claude no repositório winget foi retirado por 'incompatibilidade de hash e URLs suspeitas', provando que a ausência de verificação criptográfica pode levar diretamente à distribuição de software adulterado.

Para desenvolvedores, isso significa que qualquer plugin instalado via marketplace deve ser tratado como código de terceiros não confiável, mesmo que tenha passado pela revisão da Anthropic. A recomendação prática é clara: nunca confiar em referências de branch (como main ou master) em marketplace.json; sempre usar commits SHA-256 explícitos nas próprias configurações locais, quando possível. Evitar clicar em 'Open Homepage' até verificar manualmente o domínio e o histórico do repositório é uma barreira simples, mas eficaz. A Anthropic já respondeu com medidas concretas: lançou em maio de 2026 um plugin de orientação de segurança gratuito para o CLI do Claude Code, com revisões em três estágios que reduziram em 30, 40% os comentários de segurança em pull requests, além de introduzir sandbox self-hosted e restrições de execução de ferramentas externas até aprovação explícita do usuário.