Guia de atualização de segurança

​

Visão geral

​

Workspaces confiáveis

• .chatcli/hooks.json — os hooks rodam comandos de shell, então um hook não confiável poderia executar código no start.
• ./.env — poderia apontar o base URL de um provider para outro host (mandando sua API key ou token OAuth para lá), desligar a verificação TLS ou indicar um servidor MCP que é então iniciado.
• coder_policy.json — uma cópia no projeto antes substituía a sua política global do coder e desligava todas as confirmações.

• No REPL interativo, na primeira vez que você inicia numa pasta que contém algum desses arquivos, o ChatCLI os lista e pergunta uma vez ([y/N], padrão Não). Responder y registra a confiança naquela pasta.
• Em modos não interativos (-p, ACP, mcp-server, gateway, server, …) nada é carregado de uma pasta não confiável; um aviso de uma linha no stderr nomeia os arquivos e o comando para confiar neles.
• O coder_policy.json de uma pasta confiável só pode endurecer a política global (acrescentar ask/deny); uma regra allow local é ignorada.
• Se qualquer arquivo coberto mudar, a confiança expira e você é perguntado de novo.

chatcli trust              # confiar no diretório atual
chatcli trust /caminho/do/repo
chatcli trust --list       # listar pastas confiáveis e quais expiraram
chatcli trust --revoke .   # retirar a confiança de uma pasta

• O histórico de comandos saiu de ./.chatcli_history para ~/.chatcli/history (modo 0600). Um ./.chatcli_history existente ainda é lido para o histórico da seta para cima, mas não recebe mais escritas; apague-o quando não precisar mais.
• Overlay de projeto no ACP: um .env de projeto aberto via ACP agora aplica só uma allowlist de chaves inofensivas (escolha de provider e modelo, região, AWS_PROFILE, CHATCLI_LANG, CHATCLI_THEME). Qualquer outra exige CHATCLI_PROJECT_ENV=all e uma pasta confiável.
• Harness de avaliação: a política por caso que antes ficava num coder_policy.json do sandbox agora vem de CHATCLI_CODER_POLICY_OVERLAY, um caminho lido só do ambiente do processo.

​

Gateway de chat

export CHATCLI_TELEGRAM_ALLOWED_USERS="111111111,222222222"
export CHATCLI_SLACK_ALLOWED_USERS="U0123,TEAM1:U0456"   # U<id>, ou TEAM:U<id> para fixar um workspace
export CHATCLI_WHATSAPP_ALLOWED_USERS="15551234567"       # o wa_id / telefone, sem '+'
export CHATCLI_DISCORD_ALLOWED_USERS="305172394…"         # o snowflake do autor

• /session pelo chat só vale para remetentes listados por id. Deixa de existir pelo webhook, cujo user_id é escolhido por quem chama.
• Uma falha de rede não escreve mais o token do bot do Telegram nos logs.

​

Canal webhook

• X-ChatCLI-Timestamp: <unix em segundos> — dentro de ±5 minutos do receptor.
• X-ChatCLI-Signature: sha256=<hex HMAC-SHA256(segredo, "<timestamp>.<corpo cru>")>

import hmac, hashlib, time
ts = str(int(time.time()))
sig = "sha256=" + hmac.new(secret.encode(), f"{ts}.".encode() + body, hashlib.sha256).hexdigest()
headers = {"X-ChatCLI-Timestamp": ts, "X-ChatCLI-Signature": sig}

​

Superfícies web locais

​

Agente não assistido e @coder

export CHATCLI_POLICY_AUTOMODE=true

export CHATCLI_CODER_ALLOW_UNSAFE=true   # suspende o bloqueio de comando perigoso
export CHATCLI_AGENT_ALLOW_SUDO=true     # permite sudo

​

Modo servidor gRPC

• Executar @coder remoto exige papel admin e passa pela política do coder. Um chamador de papel user não roda mais comandos no host do servidor pelo ExecuteRemotePlugin.
• Providers de agente (DEVIN) exigem admin. Um turno de não-admin que resolva para DEVIN é recusado em todas as RPCs. Um servidor cujo provider padrão é DEVIN recusa turnos de não-admin.
• Sessões salvas são por usuário. Cada chamador só vê as próprias; um readonly não salva nem apaga. Sessões criadas antes desta versão são acessíveis por gRPC só para admins e não são migradas automaticamente.
• Endpoints escolhidos pelo cliente são recusados. Um base_url de provider no provider_config é rejeitado, a menos que a origem esteja em CHATCLI_SERVER_PROVIDER_ENDPOINTS, e mesmo assim o endereço é checado na hora de conectar. Uma chave desconhecida em provider_config agora é erro, em vez de ser ignorada.

​

Operator Kubernetes

• Fixe a Instance de AIOps. O operator não conecta mais em qualquer Instance pronta de qualquer namespace. Fixe exatamente uma:
  aiops:
    instance:
      namespace: chatcli-system
      name: aiops
  
  ou CHATCLI_OPERATOR_AIOPS_INSTANCE=chatcli-system/aiops. Sem a fixação, o AIOps fica desconectado e loga o que definir. Alertas de namespaces fora dos alvos de watch da Instance fixada são descartados.
• Modo de remediação. Novo valor remediationMode, padrão approve:
  • observe — só analisa, nunca cria plano.
  • approve — roda um plano só quando uma ApprovalPolicy ou o decision engine permite explicitamente; o resto, e toda ação de alto risco, espera um humano.
  • auto — o comportamento anterior, agora uma escolha explícita.
• Kubeconfig de federação. Um kubeconfig de ClusterRegistration agora só pode conter token ou certificado inline; exec, auth-provider, tokenFile, credenciais em arquivo, insecure-skip-tls-verify, basic auth e servidor não-https são recusados. O Secret do kubeconfig é lido só do namespace do operator e precisa da anotação platform.chatcli.io/cluster-registration: <ns>/<nome> que o vincula ao seu registration.

​

Autoatualização

​

Login em servidor MCP remoto