Guia
Como monitorar agentes de código com IA nas máquinas dos desenvolvedores
O que observar quando Claude Code, Codex ou Cursor rodam nos notebooks da equipe, o que hooks e telemetria nativos mostram ou não e como respeitar a privacidade.
· 9 min de leitura · Pela equipe do vetkit
Por que aprovações não bastam
Agentes de código com IA pedem confirmação antes de ações arriscadas, ou deixam um revisor automático decidir. Isso protege o momento da aprovação. Não conta a uma equipe o que aconteceu ao longo de centenas de sessões em dezenas de notebooks: qual agente leu uma credencial de nuvem, qual enviou dados para um domínio que ninguém reconhece ou qual editou silenciosamente as próprias configurações para que a próxima execução pergunte menos.
O monitoramento preenche essa lacuna. O objetivo não é vigiar desenvolvedores; é conseguir responder a uma pergunta simples quando algo parece errado: em que o agente mexeu? O guia sobre o que os agentes conseguem acessar explica por que essa superfície é maior do que a maioria imagina.
O que observar
A maior parte do risco se encaixa em poucas categorias. Um bom monitor cobre cada uma delas e liga a atividade ao agente que a causou.
| Categoria | Exemplos | Por que importa |
|---|---|---|
| Acesso a credenciais | Chaves SSH e GPG, credenciais de nuvem, tokens, keychain, dados do navegador | A coisa mais valiosa em uma máquina de desenvolvedor |
| Tráfego de saída | Uploads, serviços de paste e de compartilhamento de arquivos, domínios vistos pela primeira vez | É por onde os dados saem; leitura de credencial seguida de saída é a sequência clássica |
| Ações destrutivas | Exclusões amplas, reescrita do histórico do git, drop de tabelas, alteração de recursos de nuvem | Erros aqui saem caros mesmo sem um atacante |
| Escopo | Leituras, buscas e escritas fora do projeto | Uma tarefa de código raramente precisa do resto do disco |
| Cadeia de suprimentos | Instalação de pacotes, script remoto encaminhado direto para o shell, inicialização de servidores MCP | Código novo chega e roda com os seus direitos |
| Persistência e postura | Itens de login, perfis de shell, configurações e arquivos de instruções do agente, modos que pulam aprovações | Mudanças que sobrevivem à sessão e moldam a próxima |
O que as ferramentas oferecem nativamente
Os próprios agentes expõem hooks e telemetria úteis. São um bom ponto de partida, com limites claros.
- Hooks. Claude Code, Codex e Cursor podem executar um script seu antes ou depois de uma chamada de ferramenta, por exemplo antes de um comando de shell ou de uma chamada MCP. Claude Code e Cursor documentam que, por padrão, os hooks falham de forma aberta em timeouts ou erros, e o Claude Code recomenda o sistema de permissões, e não hooks, para regras rígidas de permitir ou negar.
- OpenTelemetry. Claude Code e Codex podem exportar decisões e resultados de ferramentas via OpenTelemetry. Isso vem desligado por padrão, os prompts não são registrados a menos que você opte por isso, e nenhuma das duas ferramentas permite que a configuração do próprio repositório ative a telemetria ou escolha para onde ela vai.
- O que elas não enxergam. Os sinais nativos descrevem o que o agente pediu às suas ferramentas que fizessem. Um comando de shell que inicia outros processos, um script dentro de uma instalação de dependência ou um container que o agente sobe ficam fora dessa visão, e cada ferramenta reporta no próprio formato.
Três formas de monitorar
| Abordagem | Boa em | Limitações |
|---|---|---|
| Hooks e telemetria do agente | Chamadas de ferramenta exatas, barato de começar, suportado pelo fornecedor | Uma configuração por ferramenta, falham de forma aberta, não enxergam processos filhos, dependem da configuração de cada desenvolvedor |
| Segurança de endpoint (EDR) | Vê todos os processos e conexões da máquina | Não sabe qual atividade veio de uma sessão de agente, e as regras são escritas para malware, não para um assistente de código ocupado |
| Um monitor dedicado a agentes | Liga a atividade do sistema operacional ao agente e à sessão, uma única visão entre ferramentas, regras escritas para o comportamento de agentes | Mais um app para instalar; precisa de um modelo de privacidade claro para ser aceito pela equipe |
Essas abordagens se combinam bem. Hooks dão a intenção precisa, um monitor dedicado dá cobertura e atribuição, e o EDR continua sendo a última linha de defesa para todo o resto da máquina.
Pense em sessões, não em eventos
Uma única leitura de arquivo raramente é interessante. Uma sessão que leu uma credencial de nuvem e depois enviou algo para um domínio visto pela primeira vez é. Duas ideias tornam o monitoramento útil em vez de ruidoso:
- Agrupe por sessão e regra. Repetições do mesmo comportamento devem aumentar uma contagem, não criar um novo alerta a cada vez.
- Faça afirmações do tipo “não fez”, com honestidade. O resultado mais tranquilizador de um monitor é uma afirmação como “nenhuma leitura fora do projeto” ou “saída apenas para domínios permitidos”. Uma afirmação dessas só é tão forte quanto a cobertura dos sensores por trás dela, então ela deve dizer quando a cobertura foi parcial, por exemplo após uma reinicialização do sensor ou quando o agente delegou trabalho ao Docker ou ao SSH.
Monitoramento sem vigilância
Observar o que uma ferramenta faz no notebook de alguém é algo próximo do monitoramento de funcionários e deve ser projetado como tal:
- O pareamento de um dispositivo deve ser uma ação explícita da pessoa na própria máquina.
- Envie metadados (alertas, resumos de sessão), não conteúdo de arquivos, prompts ou teclas digitadas.
- Mascare os segredos no próprio dispositivo antes que qualquer coisa saia dele.
- Permita que as organizações limitem o que os admins veem e registre cada vez que um admin abre os detalhes de alguém.
- Mantenha a retenção curta e deixe as pessoas revogarem o próprio dispositivo a qualquer momento.
- Verifique os requisitos de aviso, consentimento e conselho de trabalhadores da legislação local antes de implantar.
Onde o vetkit entra
O Agent Watch é o app desktop do vetkit para isso. Ele observa sessões de Claude Code, Codex, Cursor, Windsurf, Copilot, Gemini CLI, Cline e Aider em uma máquina pareada e reporta achados de acesso a credenciais, tráfego de saída, comandos destrutivos, escopo, cadeia de suprimentos, persistência e postura, agrupados por regra e dispositivo. Cada sessão traz atestações marcadas como verificadas, parciais ou desconhecidas de acordo com a cobertura dos sensores. Ele observa e relata; não bloqueia.
Ele segue o modelo de privacidade acima: os dispositivos são pareados por um código que a pessoa aprova, os envios são apenas metadados, eventos brutos só são enviados quando a organização e o usuário optam por isso, as leituras de um admin sobre os detalhes de outro membro são auditadas e os membros podem revogar o próprio dispositivo a qualquer momento. A documentação do Agent Watch cobre disponibilidade e planos. Para o lado da configuração, o guia de permissões mostra o que a auditoria de repositório sinaliza nas configurações de agente commitadas.
Fontes
Lemos as afirmações sobre cada ferramenta na própria documentação dela em :
Os nomes de produtos são marcas registradas de seus respectivos proprietários. O vetkit não é afiliado, endossado nem patrocinado por eles. Encontrou algo desatualizado? Escreva para contact@vetkit.dev e vamos corrigir.