Одобрения «больше не спрашивать» в Claude Code слили секреты в 1122 публичных файла на GitHub — Apiiro
Компания Apiiro нашла 1122 публичные копии файла .claude/settings.local.json из Claude Code хотя бы с одним секретом — всего 1379 паролей, токенов и ключей: при выборе «Да, и больше не спрашивать» команда может сохраняться дословно, вместе с секретом.
Компания по безопасности Apiiro сообщила, что пароли и API-ключи, введённые в команды, одобренные в Claude Code — ИИ-агенте Anthropic для программирования, — лежат в публичных репозиториях GitHub. Об этом 7 ноября 2026 года написал The Hacker News.
Как это происходит
Когда пользователь выбирает «Да, и больше не спрашивать», Claude Code сохраняет разрешающее правило в файл проекта .claude/settings.local.json. Иногда это шаблон (например, npm test *), а иногда — точная команда вместе с введённым паролем или токеном открытым текстом. Claude Code добавляет файл в глобальные исключения git на этом компьютере, но не в .gitignore самого проекта, поэтому защита не переносится вместе с проектом и не помогает для уже закоммиченных файлов. В 539 из 1105 отслеженных репозиториев файл менял коммит, где Claude указан соавтором.
Что нашла Apiiro
- 104 185 копий файла в публичных репозиториях; около 1,1% (1122) содержат хотя бы один секрет, всего 1379 уникальных секретов.
- Среди них 379 паролей к базам данных, 43 SSH-доступа, 42 токена GitHub/GitLab/npm и 23 ключа AWS; среди владельцев — 63 организации.
- В истории git нашлось ещё 734 секрета; с учётом общих файлов настроек и логов агентов — 2539 секретов в 1994 репозиториях.
- Обычные сканеры многое пропускают: gitleaks отметил 564, TruffleHog — 643 из 1122 файлов; 215 не отметил ни один.
Apiiro не проверяла, работают ли секреты, но одна уведомлённая компания подтвердила, что её ключ был действующим. Из 16 сравнённых агентов только Claude Code, по данным исследователей, по умолчанию сохраняет полную одобренную команду в файл проекта. Прежние баг-репорты пользователей закрыл бот без ответа Anthropic.
Что делать разработчикам
Сначала сменить все когда-либо хранившиеся в файле учётные данные, затем выполнить git rm --cached .claude/settings.local.json, добавить файл в .gitignore, проверить историю git и форки, хранить секреты в переменных окружения и одобрять шаблоны, а не отдельные команды.
Ограничения
Это исследование коммерческой компании в пересказе The Hacker News; реакция Anthropic не сообщалась. Использовал ли кто-то эти секреты — неизвестно.