Apiiro encontró secretos en 1.122 archivos públicos de configuración de Claude Code después de que las aprobaciones guardadas de comandos conservaran credenciales en texto sin cifrar.
Cómo una aprobación guardada puede exponer secretos
Claude Code puede preguntar antes de ejecutar un comando de shell y ofrecer la opción de recordar la aprobación. Al elegir «Sí, y no volver a preguntar», se guarda una regla de autorización en .claude/settings.local.json. Si el comando aprobado contiene una contraseña o un token, la regla puede guardarlo en texto sin cifrar. Apiiro reprodujo este comportamiento con distintos modelos de Claude, lo que apunta a cómo Claude Code gestiona los permisos y no a un modelo en particular.
Al depurar una conexión a una base de datos o un despliegue, los desarrolladores pueden pasar credenciales a herramientas de línea de comandos como variable de entorno o como argumento. Las solicitudes de permiso repetidas también pueden llevarlos a aprobar un comando una vez y seguir adelante. Apiiro describió esta explicación como una inferencia basada en el flujo de trabajo y los formatos de comando que encontraron los investigadores.
Qué encontró Apiiro en archivos públicos
Apiiro encontró al menos un secreto en 1.122 de las 104.185 copias públicas de settings.local.json en GitHub. Esos archivos contenían 1.379 secretos distintos. Al incluir el historial antiguo de Git, los archivos de configuración compartidos y las transcripciones guardadas de agentes, los investigadores informaron de 2.539 secretos en 1.994 repositorios.
Entre los secretos había contraseñas de bases de datos, credenciales de acceso SSH, tokens de plataformas de software y claves de servicios en la nube. La cifra refleja la exposición, no que todas las credenciales siguieran funcionando o se hubieran usado indebidamente. Apiiro afirmó que una organización a la que avisó confirmó que una clave seguía activa, pero la empresa no determinó que los atacantes hubieran utilizado los secretos descubiertos.
Por qué los archivos pueden seguir expuestos
La documentación de Anthropic indica que Claude Code añade el archivo de configuración local a las exclusiones globales de Git de un usuario cuando lo crea por primera vez en un repositorio que aún no lo excluye. Esta protección se aplica al equipo del desarrollador, no al proyecto compartido. No puede deshacer el seguimiento de un archivo que Git ya haya añadido ni borrar las copias del historial del repositorio y de sus bifurcaciones.
El 4 de diciembre de 2025, un desarrollador informó de una exposición similar en el registro de incidencias de GitHub de Anthropic y describió cómo unas credenciales del archivo de configuración local habían llegado a un repositorio público. El informe mostró que el riesgo ya se había detectado antes de que Apiiro midiera su alcance.
Las contraseñas incrustadas en la sintaxis habitual de los comandos pueden no coincidir con los formatos conocidos de las claves de API, por lo que los escáneres genéricos de secretos pueden pasarlas por alto. Los archivos de configuración de agentes, las transcripciones y otros datos de trabajo también pueden contener credenciales. Una clave válida puede abrir una vía de acceso a una base de datos, una cuenta en la nube o una cadena de suministro de software; su alcance depende de aquello a lo que permita acceder.
Qué pueden hacer Anthropic y las organizaciones
Boris Cherny, responsable de Claude Code en Anthropic, reconoció el problema y afirmó que la empresa estaba estudiando medidas de protección, entre ellas el modo automático y el análisis básico de secretos. Según las últimas informaciones, eran propuestas, no una solución confirmada ni un lanzamiento con fecha establecida.
Las organizaciones pueden buscar los archivos en los repositorios y en sus historiales, rotar las credenciales expuestas y eliminar o limpiar las copias que estén bajo seguimiento. Borrar un archivo por sí solo no puede volver a mantener en secreto una credencial que ya se haya publicado.