Inicio / Seguridad y datos

Leer basta para exponer un secreto

Una búsqueda de texto restituye el contenido de un archivo de secretos que atraviesa, y una regla de denegación Read(./.env) no se aplica a un comando de shell que lee archivos sin nombrar nunca ese.

Una búsqueda de texto lanzada sobre una carpeta entera devuelve cada línea que contiene el patrón buscado, precedida del nombre del archivo del que procede. Un archivo .env oculto que contiene ese patrón sube con los demás resultados, sin que se haya pedido ninguna lectura de ese archivo.

Lo que cubre una regla Read(./.env)

Una regla de denegación Read(./.env), puesta en los ajustes de permisos, sirve para impedir que Claude lea ese archivo. La documentación de permisos de Claude Code la aplica a las herramientas de archivo integradas de Claude, a los comandos de shell de archivo que Claude Code reconoce, como cat, head, tail, sed o tee, y a las redirecciones: el destino de una redirección de entrada < archivo depende de las reglas Read, el de una redirección de salida > archivo de las reglas Edit. La misma página fija a continuación dos exclusiones con todas las letras: un comando que lee archivos sin nombrarlos, con el ejemplo de grep -r pattern . lanzado desde la carpeta que contiene el archivo, y un subproceso que abre él mismo sus archivos, como un script de Python o de Node.

Dos herramientas de búsqueda, dos regímenes

La palabra búsqueda abarca dos cosas. El comando de shell grep -r, que Claude lanza en un terminal, queda fuera del alcance de la regla, como dice la exclusión anterior. La herramienta de búsqueda integrada de Claude, en cambio, es una herramienta de archivo: la documentación anuncia que aplica las reglas Read a las herramientas integradas que leen archivos, como Grep y Glob, en la medida de lo posible, sin enumerar los casos en que esa aplicación fallaría.

La demostración

Una carpeta desechable lleva un falso archivo .env y una regla de denegación en el archivo de ajustes del proyecto, .claude/settings.json.

mkdir -p demo-env && cd demo-env
mkdir -p .claude
printf '{"permissions":{"deny":["Read(./.env)"]}}\n' > .claude/settings.json
printf 'CLAVE_FALSA=ejemplo-no-es-una-clave-real\n' > .env
grep -r CLAVE .

./.env:CLAVE_FALSA=ejemplo-no-es-una-clave-real

Lanzada en tu propio terminal, esta búsqueda no pone a prueba ninguna regla: las reglas de permisos solo se aplican a las acciones de Claude. Muestra lo que el comando devuelve. La prueba de la regla se hace abriendo Claude Code en esa carpeta y pidiéndole que lance la misma búsqueda: según la exclusión documentada, la regla no la detiene, mientras que una petición de mostrar el archivo con cat .env se rechaza según la misma página. Un archivo de ajustes aceptado al arrancar no dice lo que la regla bloquea: lo dice esa prueba.

Para un bloqueo impuesto por el sistema operativo a todos los procesos, la documentación remite al sandbox de Claude Code: un aislamiento que restringe el acceso de los comandos de shell a los archivos y a la red, procesos hijos incluidos. Las reglas de denegación Read se fusionan en su configuración. Funciona en macOS, Linux y WSL2, no en Windows nativo. La lección sobre lo que un agente puede filtrar sin que se lo pidas muestra de dónde puede venir una petición de lectura que nadie ha escrito: una instrucción oculta en un contenido que Claude lee.