Claude Code виклав понад тисячу секретів на GitHub
Техно
Понад 100 000 локальних файлів налаштувань Claude Code опинилися у відкритих репозиторіях GitHub. Частина з них містить паролі, токени й ключі, які бачить будь-хто.
Що саме знайшли в Apiiro
Дослідники безпеки з компанії Apiiro перевірили публічні репозиторії й нарахували понад 100 000 випадків, коли такий файл потрапив у відкритий доступ. Секрети виявилися приблизно в 1100 з них. Ці файли належали 63 організаціям.
Серед знахідок публічні токени API, паролі до баз даних і приватні ключі. Дослідники називають також кореневі логіни.
Прибрати файл із репозиторію замало. Якщо проєкт уже форкнули, секрети можуть жити в копіях, доки хтось не почистить і їх.
Автоматичні сканери теж не дають повної гарантії. Gitleaks і TruffleHog не позначили 215 із приблизно 1100 знайдених секретів.
Чому файл виходить за межі комп’ютера
Anthropic у документації пише, що цей файл додається до глобального списку .gitignore розробника. Зазвичай це не дає йому потрапити в публічний доступ.
Але глобальне налаштування не діє на рівні самого репозиторію. Тому файл можна завантажити випадково: наприклад, коли репозиторій клонують на іншу машину або коли звичайна тека згодом стає репозиторієм. За даними Apiiro, у багатьох випадках Claude Code сам комітить зміни в цьому файлі, не питаючи користувача.
Звідки в налаштуваннях беруться секрети
Claude Code питає дозволу, перш ніж виконувати команди в оболонці. Користувач може вибрати «Yes, and don’t ask again». Тоді програма записує правило в локальний файл «.claude/settings.local.json». Інколи правило оформлене як шаблон, але часто команда лежить там без змін, разом з усім, що в неї вписано.
Поки файл залишається на комп’ютері розробника, велика проблема не виникає. Звісно, якщо сам комп’ютер не зламаний.
Що кажуть в Anthropic
Борис Черні з команди Claude Code відповів у гілці на Hacker News, що команда вивчає, як цьому запобігти. За його словами, такі файли майже ніколи не варто додавати в систему контролю версій. Випадки на кшталт цього, на його думку, трапляються тоді, коли файли створили вручну й закомітили.
Черні радить режим auto mode: він використовує класифікатори, щоб автоматично обробляти рутинні запити дозволів, і не вимагає ручних списків дозволів і заборон. Інший користувач зауважив, що чутливі команди можуть потрапляти у файли й у цьому режимі. Черні назвав це слушним спостереженням і сказав, що команда думає над покращенням.
Ще він радить сканери секретів, які знаходять чутливу інформацію у файлах і прибирають її. Команда розглядає можливість вбудувати такий сканер у сам Claude Code.
Проблема не нова. Про неї повідомляли ще в серпні 2025 року. В інших звітах йшлося, що файл іноді не додавався до .gitignore або що Claude Code міг записати чутливу команду в інший файл, не захищений від git. Усі ці звіти закрили без жодних дій після 60 днів без активності.
Це не єдиний випадок, коли ШІ-агент ненавмисно розкриває дані. У жовтні Meta призупинила функцію поширення у своєму агенті Muse: дослідники безпеки виявили, що адреси тих посилань легко вгадати.
Джерело: Ars Technica