Apiiro hittade 1 122 offentliga inställningsfiler för Claude Code som innehöll hemligheter, efter att sparade godkännanden av kommandon hade bevarat autentiseringsuppgifter i klartext.
Så kan ett sparat godkännande röja hemligheter
Claude Code kan fråga innan ett skalkommando körs och erbjuda sig att komma ihåg godkännandet. Om man väljer ”Ja, fråga inte igen” sparas en tillåtelseregel i .claude/settings.local.json. Om det godkända kommandot innehåller ett lösenord eller en token kan regeln spara det i klartext. Apiiro återskapade detta med olika Claude-modeller, vilket pekar på hur Claude Code hanterar behörigheter snarare än på en enskild modell.
Utvecklare kan skicka autentiseringsuppgifter till kommandoradsverktyg när de felsöker en databasanslutning eller en driftsättning, som en miljövariabel eller ett argument. Upprepade behörighetsfrågor kan också få dem att godkänna ett kommando en gång och gå vidare. Apiiro beskrev detta som en slutsats utifrån arbetsflödet och de kommandon som forskarna hittade.
Vad Apiiro hittade i offentliga filer
Apiiro hittade minst en hemlighet i 1 122 av 104 185 offentliga kopior av settings.local.json på GitHub. Filerna innehöll 1 379 unika hemligheter. När forskarna även räknade äldre Git-historik, delade inställningsfiler och sparade agenttranskriptioner rapporterade de 2 539 hemligheter i 1 994 kodförråd.
Hemligheterna omfattade databaslösenord, SSH-inloggningsuppgifter, token för programvaruplattformar och molnnycklar. Antalet visar att uppgifterna har exponerats, inte att alla fortfarande fungerade eller hade missbrukats. Apiiro uppgav att en organisation som företaget underrättade bekräftade att en nyckel var aktiv, men företaget kunde inte fastställa att angripare hade använt de upptäckta hemligheterna.
Varför filerna kan fortsätta att vara exponerade
Anthropics dokumentation säger att Claude Code lägger till den lokala inställningsfilen i användarens globala Git-exclude-fil när den skapas för första gången i ett kodförråd som inte redan undantar den. Skyddet gäller utvecklarens dator, inte det delade projektet. Det kan inte ta bort en fil som redan spåras av Git eller radera kopior i kodförrådets historik och förgreningar.
Den 4 december 2025 rapporterade en utvecklare en liknande exponering i Anthropics ärendehanterare på GitHub och beskrev hur autentiseringsuppgifter i den lokala inställningsfilen hade hamnat i ett offentligt kodförråd. Rapporten visade att risken hade uppmärksammats innan Apiiro mätte omfattningen.
Lösenord som bäddas in i vanlig kommandosyntax kanske inte följer välkända format för API-nycklar, vilket kan göra att generella verktyg för skanning efter hemligheter missar dem. Agentkonfigurationsfiler, transkriptioner och andra arbetsdata kan också innehålla autentiseringsuppgifter. En giltig nyckel kan ge åtkomst till en databas, ett molnkonto eller en programvaruförsörjningskedja; räckvidden beror på vad den ger åtkomst till.
Vad Anthropic och organisationer kan göra
Anthropics ansvarige för Claude Code, Boris Cherny, bekräftade problemet och sa att företaget undersökte skyddsåtgärder, bland annat auto mode och grundläggande skanning efter hemligheter. I den senaste rapporteringen var detta förslag, inte en bekräftad lösning eller ett fastställt lanseringsdatum.
Organisationer kan söka igenom kodförråd och deras historik efter filerna, byta ut exponerade autentiseringsuppgifter och ta bort eller rensa bort spårade kopior. Att bara radera en fil kan inte göra en redan publicerad autentiseringsuppgift hemlig igen.