Claude Code излага тайни данни в GitHub заради пропуск в настройките

Claude Code може неволно да остави пароли за бази данни, API токени и други чувствителни данни в публични GitHub хранилища. За проблема съобщават изследователи по киберсигурност от Apiiro, които открили секрети във файлове с настройки на инструмента на Anthropic.

Причината е свързана с избора „Да, и не питай отново“, който позволява на Claude Code да изпълнява дадена команда в терминала без ново потвърждение. Изборът се записва във файла .claude/settings.local.json на компютъра на разработчика. В някои случаи там се съхранява самата команда, включително информация, която може да е чувствителна.

Докато файлът остава само на локалния компютър, това не представлява съществен риск, освен ако машината не бъде компрометирана. Според документацията на Anthropic той се добавя към глобалния .gitignore на разработчика — списък, който указва кои файлове Git да не качва. Настройката обаче не се отразява непременно на ниво конкретно хранилище. Така файлът може да бъде споделен при клониране на проект на друга машина или когато папка бъде превърната в Git хранилище. Apiiro посочва и случаи, в които Claude Code сам е включвал промени по файла в комит.

Изследователите са установили над 100 000 случая, при които локалният файл с настройки е бил качен в публично GitHub хранилище. Около 1100 от тях, свързани с 63 организации, съдържали секрети като публични API токени, пароли за бази данни или частни ключове. Дори след премахването на файл от първоначалното хранилище чувствителните данни могат да останат във форкове на проекта.

Проблемът е бил докладван в Claude Code още през август 2025 г. В други сигнали се посочва, че файлът понякога не попада в .gitignore или чувствителни команди се записват в друг файл, който Git не изключва. Според публикацията тези сигнали са били затворени след 60 дни без активност.

В коментар в Hacker News Борис Черни от екипа на Claude Code заявява, че компанията проучва как да предотврати подобни случаи. Той препоръчва използването на автоматичния режим, който прилага класификатори за обработка на рутинни заявки за разрешение, както и скенери за секрети. Екипът обмисля и включването на такова сканиране директно в Claude Code. Apiiro обаче установява, че 215 от намерените публични секрети не са били засечени от два популярни инструмента — Gitleaks и TruffleHog.

Случаят е пореден пример за риск от непреднамерено изтичане на данни чрез AI агенти. Миналия месец Meta спря функцията за споделяне в агента Muse, след като изследователи установиха, че адресите на споделените връзки могат лесно да бъдат отгатнати.