Apiiro fand 1.122 öffentlich zugängliche Einstellungsdateien von Claude Code, die Geheimnisse enthielten, nachdem gespeicherte Befehlsfreigaben Zugangsdaten im Klartext bewahrt hatten.
Wie eine gespeicherte Freigabe Geheimnisse offenlegen kann
Claude Code kann vor dem Ausführen eines Shell-Befehls nachfragen und anbieten, sich die Freigabe zu merken. Wer „Ja, und nicht erneut fragen“ auswählt, speichert eine Zulassungsregel in .claude/settings.local.json. Enthält der freigegebene Befehl ein Passwort oder Token, kann die Regel dieses im Klartext speichern. Apiiro konnte dies mit verschiedenen Claude-Modellen reproduzieren, was darauf hindeutet, dass die Ursache im Umgang von Claude Code mit Berechtigungen liegt und nicht bei einem einzelnen Modell.
Beim Debuggen einer Datenbankverbindung oder einer Bereitstellung übergeben Entwickler möglicherweise Zugangsdaten als Umgebungsvariable oder Argument an Befehlszeilenwerkzeuge. Wiederholte Berechtigungsabfragen können sie außerdem dazu verleiten, einen Befehl einmal freizugeben und dann weiterzumachen. Apiiro bezeichnete diese Erklärung als Schlussfolgerung aus dem Arbeitsablauf und den Befehlsformaten, die die Forschenden vorgefunden hatten.
Was Apiiro in öffentlichen Dateien fand
Apiiro fand mindestens ein Geheimnis in 1.122 von 104.185 öffentlich zugänglichen Kopien von settings.local.json auf GitHub. Diese Dateien enthielten 1.379 verschiedene Geheimnisse. Unter Einbeziehung älterer Git-Verläufe, gemeinsam genutzter Einstellungsdateien und gespeicherter Agentenprotokolle meldeten die Forschenden 2.539 Geheimnisse in 1.994 Repositories.
Zu den Geheimnissen gehörten Datenbankpasswörter, SSH-Zugangsdaten, Tokens für Softwareplattformen und Cloud-Schlüssel. Die Zahl belegt eine Offenlegung, nicht aber, dass alle Zugangsdaten noch gültig waren oder missbraucht wurden. Apiiro zufolge bestätigte eine benachrichtigte Organisation, dass ein Schlüssel aktiv war; das Unternehmen stellte jedoch nicht fest, ob Angreifer die entdeckten Geheimnisse verwendet hatten.
Warum die Dateien weiterhin offengelegt sein können
Laut der Dokumentation von Anthropic nimmt Claude Code die lokale Einstellungsdatei in die globale Git-Ausschlussdatei eines Nutzers auf, wenn das Programm die Datei zum ersten Mal in einem Repository erstellt, in dem sie nicht bereits ausgeschlossen ist. Diese Schutzmaßnahme gilt auf dem Rechner des Entwicklers, nicht für das gemeinsam genutzte Projekt. Sie kann weder eine bereits von Git erfasste Datei rückgängig machen noch Kopien aus der Repository-Historie und aus Forks löschen.
Am 4. Dezember 2025 meldete ein Entwickler im GitHub-Issue-Tracker von Anthropic eine ähnliche Offenlegung und beschrieb, wie Zugangsdaten aus der lokalen Einstellungsdatei in ein öffentliches Repository gelangten. Der Bericht zeigte, dass das Risiko bereits vor Apiiros Untersuchung seines Ausmaßes bekannt geworden war.
Passwörter, die in gewöhnliche Befehlssyntax eingebettet sind, entsprechen möglicherweise nicht den bekannten Formaten von API-Schlüsseln, sodass allgemeine Scanner für Geheimnisse sie übersehen können. Auch Agentenkonfigurationsdateien, Transkripte und andere Arbeitsdaten können Zugangsdaten enthalten. Ein gültiger Schlüssel kann einen Zugang zu einer Datenbank, einem Cloud-Konto oder einer Software-Lieferkette ermöglichen; wie weit er reicht, hängt davon ab, worauf er Zugriff hat.
Was Anthropic und Organisationen tun können
Boris Cherny, der bei Anthropic für Claude Code verantwortlich ist, räumte das Problem ein und sagte, das Unternehmen prüfe Schutzmaßnahmen, darunter den Auto-Modus und einen grundlegenden Scan nach Geheimnissen. Laut der jüngsten Berichterstattung waren dies Vorschläge, keine bestätigte Fehlerbehebung oder ein angekündigter Veröffentlichungstermin.
Organisationen können Repositories und deren Historie nach den Dateien durchsuchen, offengelegte Zugangsdaten austauschen und erfasste Kopien entfernen oder bereinigen. Eine Datei allein zu löschen, kann bereits veröffentlichte Zugangsdaten nicht wieder geheim machen.