Дослідники з кібербезпекової компанії Apiiro виявили паролі до баз даних, API-токени, приватні ключі та інші конфіденційні дані у файлах налаштувань Claude Code, опублікованих на GitHub. Причиною стало те, як ШІ-інструмент зберігає дозволи на виконання команд.
Про це повідомляє Ars Technica.
Дослідники знайшли понад 100 тисяч випадків публікації локального файлу налаштувань Claude Code. Приблизно 1 100 таких файлів із 63 організацій містили секретні дані.
Як конфіденційні дані потрапляють на GitHub
Коли користувач дозволяє Claude Code виконати команду й обирає «Так, і більше не запитувати», інструмент записує цей дозвіл у файл .claude/settings.local.json. Іноді туди потрапляє команда повністю — разом із паролем або ключем доступу, якщо вони були в її тексті.
За документацією Anthropic, цей файл додається до глобального списку .gitignore, який зазвичай запобігає його публікації. Однак правило не зберігається на рівні самого репозиторію. Через це файл можна випадково опублікувати, наприклад, після перенесення проєкту на інший компʼютер.
За даними Apiiro, у багатьох випадках Claude Code сам додавав зміни цього файлу до комітів без участі користувача.
Навіть після видалення файлу з репозиторію конфіденційні дані можуть залишатися в його копіях — форках.
Результати відрізняються від оцінки Apiiro через методику. GitGuardian відстежувала публікації файлів у часі, включно з версіями, які згодом видалили або перезаписали, та перевіряла працездатність облікових даних.
Дослідники знайшли ще один шлях витоку — публічні образи контейнерів у Docker Hub. У них виявили 613 унікальних секретів із файлів налаштувань Claude Code, з яких 99 були чинними.
GitHub рекомендує після публікації пароля або токена насамперед відкликати чи замінити його. Видалення файлу не прибирає вже оприлюднені дані з усіх копій репозиторію та його історії.
Як відреагувала команда Claude Code на витік на GitHub
Про проблему повідомляли ще в серпні 2025 року. Інші звернення також описували випадки, коли файл не потрапляв до списку ігнорування або конфіденційні команди зберігалися в іншому файлі. Ці повідомлення про помилки закрили після 60 днів без активності.
Творець Claude Code Борис Черний заявив, що розробники вивчають, як запобігти таким ситуаціям. Він порадив користувачам застосовувати сканери секретних даних і повідомив, що команда розглядає можливість вбудувати таку перевірку в Claude Code.
Водночас сканери також пропускають частину витоків. Із приблизно 1 100 виявлених Apiiro публічних секретів 215 не позначили два популярні інструменти перевірки — gitleaks і TruffleHog.