Excelente post, mas venho complementar um ponto a esta questão:

Leitura proibida em arquivos-chave. Adicionei uma seção ao CLAUDE.md global instruindo Claude a nunca ler ou mostrar arquivos que contenham secrets.

Eu uso a ferramenta ai-jail do Fábio Akita, que usa bubblewrap (no Linux) para deixar inacessível ao claude todos os arquivos externos a pasta onde está rodando o utilitário, ou seja, ele não tem acesso as pastas do ssh que ficam na pasta do usuário e outras pastas críticas que ficam fora da pasta do projeto. É mais uma camada de segurança nesta situação.