Aprovações «não perguntar novamente» do Claude Code vazaram segredos para 1.122 arquivos públicos no GitHub, diz Apiiro

A empresa de segurança Apiiro informou que senhas e chaves de API digitadas em comandos aprovados no Claude Code, o agente de programação com IA da Anthropic, estão em repositórios públicos do GitHub, segundo o The Hacker News em 7 de novembro de 2026.

Como acontece

Quando o usuário escolhe «Sim, e não perguntar novamente», o Claude Code salva uma regra de permissão no arquivo do projeto .claude/settings.local.json. Às vezes é um padrão (como npm test *), mas às vezes é o comando exato, com qualquer senha ou token em texto puro. O Claude Code adiciona o arquivo às exclusões globais do git naquele computador, mas não ao .gitignore do projeto, então a proteção não acompanha o projeto nem cobre arquivos já commitados. Em 539 de 1.105 repositórios rastreados, um commit com Claude como coautor alterou o arquivo.

O que a Apiiro encontrou

• 104.185 cópias do arquivo em repositórios públicos; cerca de 1,1% (1.122) contém ao menos um segredo, 1.379 segredos distintos.
• Entre eles, 379 senhas de bancos de dados, 43 acessos SSH, 42 tokens do GitHub/GitLab/npm e 23 chaves AWS; 63 organizações entre os donos.
• O histórico do git guardava mais 734 segredos; somando arquivos compartilhados e logs de agentes, 2.539 segredos em 1.994 repositórios.
• Scanners comuns falham: o gitleaks sinalizou 564 e o TruffleHog 643 dos 1.122 arquivos; nenhum sinalizou 215.

A Apiiro não testou se os segredos ainda funcionam, mas uma empresa notificada confirmou que sua chave estava ativa. Dos 16 agentes comparados, só o Claude Code salva por padrão o comando completo num arquivo do projeto. Relatos anteriores de usuários foram fechados por um bot sem resposta da Anthropic, dizem os pesquisadores.

O que os desenvolvedores devem fazer

Trocar primeiro todas as credenciais que o arquivo já guardou; depois git rm --cached .claude/settings.local.json, adicioná-lo ao .gitignore, verificar histórico e forks, usar variáveis de ambiente para segredos e aprovar padrões em vez de comandos isolados.

Limites

São resultados de uma empresa do setor relatados pelo The Hacker News; a resposta da Anthropic não foi informada. Não se sabe se algum segredo foi explorado.