Segurança

O que o Vults promete:

• Ele nunca bloqueia seu agente. Se o app estiver fechado, lento ou quebrado, o hook sai em milissegundos sem imprimir nada, e seu agente pergunta no terminal como sempre.
• Só você responde a uma permissão. Nenhum timer ou padrão responde a uma. Além do seu clique, só estes respondem: uma regra exata que você criou com Always, para aquele comando ou arquivo; uma política que você escreveu, viu como diff e aceitou com um clique (um deny vence um allow); um telefone que você pareou, quando a resposta dele é assinada pela chave dele para aquele card exato, no prazo, e nunca vista antes (aprovar pede a sua biometria no telefone, negar não; veja O telefone); e, só no chat do Zeca, o acesso que você escolheu para os cards dele (Quem responde os cards do Zeca); no acesso total, a negação ou o perguntar de uma política continuam valendo, e conteúdo de fora traz os cards de volta. Uma chamada destrutiva (rm -rf, um push forçado) sempre pergunta: o card dela não oferece Always, e nenhuma regra, política ou acesso total a responde. Uma pergunta do Claude Code só é respondida com a escolha ou as palavras que você deu no card dela.
• Só a sua conta de usuário fala com ele. O socket fica na sua pasta de runtime privada, com modo 0600, e os dois lados verificam se o outro processo roda como você (no Windows, pelo SID).
• Ele nunca edita a configuração de um agente pelas suas costas. Toda mudança ganha um backup datado e um diff que você aprova; os hooks de outras ferramentas são mantidos, uma status line do Claude Code que seja sua continua rodando (como), e o trusted_hash do Codex nunca é escrito (você mesmo confia nos nossos hooks, no /hooks do Codex).
• O uso do plano vem só das CLIs. A entrada da status line do Claude Code é reduzida no hook aos rate_limits dela e ao custo da sessão antes de qualquer coisa sair dele; o Codex é consultado com uma chamada só de leitura, só enquanto Settings → General → Codex usage estiver ligado.
• O chat usa as CLIs em que você fez login (claude, codex), e o Vults nunca lê as credenciais delas; todo comando e toda edição que suas próprias regras não liberam esperam o seu Allow (veja Sua configuração).
• As chaves de API ficam no chaveiro do sistema. Se você der ao chat a chave de API de um provedor, ela é gravada só no chaveiro (Secret Service no Linux), nunca em um arquivo ou log, nunca devolvida a uma janela, e só é enviada para aquele provedor. Modelos locais (Ollama, LM Studio) são acessados só em 127.0.0.1. O chat pela API não executa comandos nem edita arquivos. As ferramentas dele leem o que a ilha mostra (sessões, cards esperando, uso, seu card do GitHub); com a memória ligada, o recall lê o diário e o memory_propose só escreve uma proposta; com a web ligada, ele recebe as ferramentas da web. O que elas devolvem vai para aquele provedor junto com a conversa, comandos com os segredos redigidos.
• Cada mensagem do chat diz o que a ilha mostra. Por uma CLI ou por uma API, uma mensagem ao Zeca leva a data e a hora e uma linha para cada sessão (agente, projeto, estado, o passo dela com os segredos redigidos), nunca o comando de um card. Com a memória ligada, o que o Zeca lembra entra quando uma conversa começa, e até 3 trechos lembrados vão com cada mensagem.
• O microfone só escuta enquanto você segura uma gravação. A voz fica desligada até você baixar um modelo; depois o mic grava só na memória enquanto o botão dele está vermelho (no máximo um minuto), e o whisper.cpp transcreve neste computador. O áudio nunca é salvo nem enviado para lugar nenhum.
• O Now playing fica desligado até você ligar. Aí o app lê seus players de mídia pelo session bus (MPRIS no Linux) para mostrar a música; isso nunca é guardado nem enviado para lugar nenhum.
• O que o app pede por conta própria passa por um portão só. Uma requisição feita sem um clique naquele momento (a verificação de um conector, a leitura de uso do Codex, os cards e as respostas de um telefone pareado, as ferramentas da web, o resumo do diário, as sugestões de memória e o sono do Zeca) pergunta antes ao portão de rede do app: só um recurso que você ligou, cada um com o próprio limite diário (veja a tabela), cada requisição guardada como uma linha no vults.sqlite (quando, qual recurso, se respondeu; 30 dias). Um conector que passa do limite espera e diz isso em Settings → Connectors.

O que ele guarda fica neste computador, nunca é enviado para lugar nenhum e está listado em Configurações e arquivos; o Clear history apaga quase tudo:

• As edições que ele mostra ficam na memória: as linhas alteradas de uma edição concluída (no máximo 400), dos últimos passos da sessão, nunca gravadas em um arquivo ou log.
• Os conectores guardam só a última resposta, para que um reinício não repita notícias antigas (Conectores).
• O histórico de atividade é só contagem: nunca um prompt, uma resposta, um comando, um nome de arquivo ou um caminho (Atividade).
• Os turnos do Zeca ficam registrados por 30 dias: motor, modelo, tokens, custo e o alvo redigido de cada ferramenta, nunca um prompt ou uma resposta (O Nest).
• As conversas do Zeca ficam guardadas, as 200 mais recentes, nunca a resposta a um card nem uma regra Always in this chat (Conversas).
• A memória do Zeca fica desligada até você ligá-la, e só você a escreve: o que o Zeca, um modelo ou o servidor MCP dele adicionariam espera o seu sim, e o CLAUDE.md de um projeto só muda sobre o arquivo que você viu, depois de um backup datado (A memória do Zeca).
• Toda resposta fica registrada. Um log de auditoria guarda, por 90 dias, cada resposta a um card, do bando e do chat do Zeca: quem a deu (você, o seu telefone pareado, uma regra Always, o Always in this chat do chat, uma política com o consentimento dela, o acesso total do chat, ou o app quando o tempo de um card acabou ou o Paused o mandou para o terminal), o que ela fez (permitir, negar, sempre permitir, permitir nesta conversa, responder, mandar para o terminal, ou o tempo acabou), o agente, o nome da pasta do projeto, a ferramenta e o comando ou caminho exato, com tokens e valores NOME=segredo redigidos antes. Uma resposta dada no próprio terminal do agente não entra. Cada configuração de agente que o instalador escreve também fica. Uma linha nunca é alterada e nenhuma sai antes de 90 dias, exceto pelo Clear history, que deixa uma linha: que você o limpou, e quando. Fica sempre ligado.
• O que você aceita fica guardado para sempre. Cada política que você aceita é uma linha nos consentimentos do vults.sqlite: quando, sobre o que é, as palavras que você aceitou e um SHA-256 do diff que você viu. Uma linha nunca é alterada nem apagada, e o Clear history não mexe nela: uma política nunca pode perder a prova de que você disse sim. Revogar desliga a política na hora; a linha fica, marcada como revogada. As palavras da linha são a própria política, e uma cujo diff não termina nessas palavras nunca responde.
• Os segredos ficam no chaveiro do sistema, e não há telemetria.

Toda requisição que o Vults faz

#

Nada mais chega à rede. O CI confere: o scripts/check-network.sh falha num crate que depende de um cliente HTTP, ou num arquivo que nomeia um ou inicia um comando de rede, fora do scripts/network-allowlist.txt, que nomeia cada um e o motivo; e num webview que possa se conectar a qualquer lugar além do próprio app.