Claude Code wycieka sekrety na GitHub

Narzędzie Claude Code, opracowane przez Anthropic, miało usprawnić pracę programistów poprzez automatyzację poleceń powłoki. Okazuje się jednak, że mechanizm zatwierdzania tych poleceń kryje w sobie poważną lukę. Badacze bezpieczeństwa z firmy Apiiro odkryli, że tysiące wrażliwych danych — od haseł do baz danych po klucze API — wyciekło do publicznych repozytoriów na GitHubie za sprawą plików konfiguracyjnych Claude Code.

Jak doszło do wycieku danych?

Źródło problemu tkwi w sposobie, w jaki Claude Code obsługuje zgodę użytkownika na uruchamianie automatycznych poleceń powłoki. Gdy developer wybiera opcję „Tak, i nie pytaj ponownie", jego decyzja zostaje zapisana jako reguła w lokalnym pliku .claude/settings.local.json. I tu pojawia się zasadniczy kłopot — reguła bywa kodowana jako wzorzec, ale samo polecenie często trafia do pliku w niezmienionej formie, wraz z wszelkimi poufnymi informacjami, które zawiera.

Dopóki plik konfiguracyjny pozostaje na lokalnym dysku użytkownika, sytuacja nie stwarza większego zagrożenia. Anthropic zaznacza w dokumentacji Claude Code, że omawiany plik jest dodawany do globalnej listy .gitignore dewelopera, co zazwyczaj blokuje jego publiczne udostępnienie. Problem w tym, że to ustawienie nie jest odzwierciedlane na poziomie repozytorium. W efekcie wrażliwy plik może zostać przypadkowo wysłany, jeśli repozytorium zostanie sklonowane na inną maszynę lub gdy dany katalog stanie się repozytorium dopiero później.

Skala zjawiska i rodzaje ujawnionych danych

Badacze z Apiiro przeanalizowali publiczne repozytoria i natrafili na ponad 100 tysięcy przypadków, w których lokalny plik ustawień Claude Code został opublikowany na GitHubie. Wśród nich około 1100 plików — pochodzących z 63 różnych organizacji — zawierało rzeczywiste sekrety. Mowa tu między innymi o:

• publicznych tokenach API,
• hasłach dostępu do baz danych,
• prywatnych kluczach kryptograficznych,
• danych logowania o uprawnieniach root.

Co istotne, w wielu sytuacjach sam Claude Code zatwierdzał zmiany w pliku ustawień bez udziału użytkownika — jak relacjonują autorzy analizy. To dodatkowo zwiększa ryzyko, że poufne informacje trafią tam, gdzie nie powinny.

Konsekwencje mogą być długotrwałe

Nawet po usunięciu ujawnionego pliku z repozytorium problem nie znika automatycznie. Sekrety mogą przetrwać w forkach oryginalnego projektu, jeśli użytkownik GitHuba nie zachowa należytej ostrożności. To oznacza, że pojedyncze przypadkowe zatwierdzenie może mieć skutki przez długi czas, wymagając od organizacji rotacji kluczy i audytu bezpieczeństwa.

Sprawa pokazuje, jak subtelne decyzje projektowe w narzędziach AI mogą przekładać się na realne ryzyko dla bezpieczeństwa. Automatyzacja i wygoda, jakie oferuje Claude Code, idą w parze z odpowiedzialnością za konfigurację. Deweloperzy korzystający z tego narzędzia powinni zweryfikować, czy ich pliki ustawień nie trafiły przypadkiem do publicznych repozytoriów, oraz upewnić się, że mechanizmy ignorowania działają na właściwym poziomie.