Las aprobaciones «no volver a preguntar» de Claude Code filtraron secretos a 1.122 archivos públicos en GitHub, según Apiiro

La empresa de seguridad Apiiro informó de que contraseñas y claves API escritas en comandos aprobados en Claude Code, el agente de programación con IA de Anthropic, están en repositorios públicos de GitHub, según publicó The Hacker News el 7 de noviembre de 2026.

Cómo ocurre

Cuando el usuario elige «Sí, y no volver a preguntar», Claude Code guarda una regla de permiso en el archivo del proyecto .claude/settings.local.json. A veces es un patrón (como npm test *), pero a veces es el comando exacto, con cualquier contraseña o token en texto plano. Claude Code añade el archivo a las exclusiones globales de git de ese ordenador, pero no al .gitignore del proyecto, por lo que la protección no viaja con el proyecto ni cubre archivos ya confirmados. En 539 de 1.105 repositorios rastreados, un commit que cita a Claude como coautor modificó el archivo.

Qué encontró Apiiro

• 104.185 copias del archivo en repositorios públicos; cerca del 1,1% (1.122) contiene al menos un secreto, 1.379 secretos distintos.
• Entre ellos, 379 contraseñas de bases de datos, 43 accesos SSH, 42 tokens de GitHub/GitLab/npm y 23 claves de AWS; 63 organizaciones entre los propietarios.
• El historial de git guardaba 734 secretos más; sumando archivos compartidos y registros de agentes, 2.539 secretos en 1.994 repositorios.
• Los escáneres habituales fallan: gitleaks marcó 564 y TruffleHog 643 de los 1.122 archivos; ninguno marcó 215.

Apiiro no comprobó si los secretos siguen activos, aunque una empresa notificada confirmó que su clave lo estaba. De 16 agentes comparados, solo Claude Code guarda por defecto el comando completo en un archivo del proyecto. Reportes previos de usuarios fueron cerrados por un bot sin respuesta de Anthropic, según los investigadores.

Qué deben hacer los desarrolladores

Rotar primero todas las credenciales que haya contenido el archivo; luego git rm --cached .claude/settings.local.json, añadirlo al .gitignore, revisar historial y forks, usar variables de entorno para secretos y aprobar patrones en lugar de comandos sueltos.

Límites

Son hallazgos de una empresa del sector según The Hacker News; no se informó de respuesta de Anthropic. Se desconoce si algún secreto fue explotado.