Apiiro：Claude Code“不再询问”授权导致机密泄露至GitHub上1,122个公开文件
安全公司Apiiro发现，Claude Code的.claude/settings.local.json有1,122个公开副本含至少一个机密，共1,379个不同的密码、令牌和密钥——原因是选择“是，且不再询问”时命令可能被原样保存，连同其中的机密。
据The Hacker News 2026年11月7日报道，安全公司Apiiro发现，用户在Anthropic的AI编程智能体Claude Code中批准的命令里输入的密码和API密钥，正暴露在GitHub公开仓库中。
问题如何产生
用户选择**“是，且不再询问”时，Claude Code会在项目文件.claude/settings.local.json中保存一条允许规则。有时规则是模式（如npm test *），有时则是完整命令**——其中输入的密码或令牌以明文保存。Claude Code会把该文件加入本机的全局git排除列表，但不会加入项目自身的.gitignore，因此保护不会随项目传递，也无法覆盖已提交的文件。在追踪的1,105个仓库中，有539个由署名Claude为合著者的提交修改了该文件。
Apiiro的发现
- 公开仓库中共有104,185份该文件；约1.1%（1,122份）含至少一个机密，共1,379个不同机密。
- 其中包括379个数据库密码、43个SSH登录、42个GitHub/GitLab/npm令牌和23个AWS密钥；所有者中有63家机构。
- git历史中另有734个机密；加上共享设置文件和智能体日志，共1,994个仓库中的2,539个机密。
- 常用扫描器漏检严重：在1,122个文件中，gitleaks标出564个，TruffleHog标出643个，215个两者都未发现。
Apiiro未测试这些机密是否仍有效，但一家被通知的公司证实其密钥曾处于有效状态。在比较的16款编程智能体中，仅Claude Code被确认默认将完整批准命令保存到项目文件。研究人员称，此前用户提交的相关问题报告均被机器人自动关闭，Anthropic未予回复。
开发者应怎么做
先轮换该文件曾保存过的所有凭据，再执行git rm --cached .claude/settings.local.json、将其加入.gitignore、检查git历史和分叉仓库；用环境变量保存机密，并批准命令模式而非单条命令。
局限
以上为安全厂商的研究结果，经The Hacker News报道；未见Anthropic回应。尚不清楚是否有机密被滥用。