Chave de API armazenada interfere no carregamento das políticas da organização
Ao buscar as configurações gerenciadas pelo servidor, o Claude Code dava preferência a uma chave de API armazenada localmente, mesmo com uma autenticação válida pelo Claude Enterprise ou Team. Essa chave podia ter sido gravada por um /login anterior ou diretamente na configuração. Quando o servidor recusava a chave, a sessão continuava vinculada à organização, mas iniciava sem a política corporativa caso não existisse uma cópia em cache. Quando havia uma cópia anterior, o aplicativo mantinha aquela política desatualizada e não recebia alterações posteriores. Com isso, as permissões negadas pela organização ou as restrições de modelos podiam deixar de ser aplicadas conforme a configuração atual.
Casos de uso afetados
- Você usa o Claude Enterprise com configurações gerenciadas pelo servidor a partir da versão 2.0.68 e mantém uma chave de API armazenada no dispositivo. Sem uma política previamente guardada em cache, a recusa dessa chave podia iniciar a sessão sem as restrições da organização.
- Você usa o Claude for Work (Team), cujo suporte às configurações gerenciadas pelo servidor começou na versão 2.1.38. Uma chave armazenada e recusada pelo servidor podia manter em uso uma política antiga do cache, deixando de aplicar restrições adicionadas posteriormente.
Confira na sua instância
Confira a versão instalada no dispositivo e verifique se sua organização distribui as configurações pelo servidor. Examine a configuração local para identificar uma chave de API armazenada, sem expor seu conteúdo, e confira se a sessão está autenticada pelo Claude Enterprise ou Team. Para instalações atualizadas manualmente, atualize para a versão 2.1.260 ou posterior. Como conferência prática após a atualização, inicie uma nova sessão e compare as restrições aplicadas com a política atual da organização, especialmente uma restrição de modelo alterada recentemente. Uma correspondência apenas com a política antiga pode ocultar o uso de uma cópia desatualizada.
Versões afetadas e correções
| Linha | Afetadas | Corrigidas |
|---|---|---|
| @anthropic-ai/claude-code (npm) | >= 2.0.68, < 2.1.260 | 2.1.260 |
O acionamento da falha exigia acesso local a um dispositivo com uma chave de API armazenada. As configurações gerenciadas por MDM (gerenciamento de dispositivos móveis) ou por arquivos não foram afetadas. O comunicado informa que a atualização automática padrão já distribuiu a correção, mas você precisa conferir a versão instalada. A pontuação 2 corresponde ao CVSS 4.0. O aviso também identifica a falha como CVE-2026-103012.
