Säkerhetsföretaget Apiiro publicerade sin undersökning den 5 november.

Anthropics kodningsagent Claude Code ber om lov före de flesta kommandon på kommandoraden. När användaren väljer ”Yes, and don't ask again” sparar Claude Code en tillåtelseregel i filen .claude/settings.local.json i projektmappen och frågar sedan inte om samma kommando igen. Ibland är regeln ett mönster, ibland ett enda exakt kommando. Ett exakt kommando sparas i klartext, inklusive lösenord eller token som skrivits in i det. Enligt Apiiro ligger felet i Claude Code och inte i modellen. Företaget återskapade fenomenet med modellerna Opus 5.5 och Fable 5.1.

När Claude Code skapar filen i ett git-kodförråd lägger verktyget till filen i användarens globala ignoreringslista för git. Inställningen gäller dock bara på den datorn. Den skyddar inte ett projekt som klonats till en annan dator, en mapp som senare gjorts om till kodförråd eller en fil som redan har committats. Claude Code lägger inte till regeln i projektets egen .gitignore-fil.

Apiiro spårade 1 105 kodförråd med en verklig hemlighet. I 539 av dem ändrades filen av en commit där Claude var angiven bland författarna. Av detta drar Apiiro slutsatsen att Claude ofta committar filen själv. Enligt Agentbeams blogg visar märkningen dock bara att Claude deltog i commiten.

Över tusen offentliga filer

Mellan den 1 och den 3 november gick Apiiro igenom 104 185 offentliga kopior av filen på GitHub. Enligt företagets klassificering innehöll 1 122 av dem, eller 1,1 procent, en verklig hemlighet. Sammanlagt rörde det sig om 1 379 olika hemligheter. Över en tredjedel av dessa ger direkt åtkomst till en databas. Räknas även filens äldre versioner, filen .claude/settings.json, som team delar avsiktligt, och sparade agentkonversationer, uppgår antalet hemligheter till 2 539 i sammanlagt 1 994 kodförråd.

För Apiiro är en verklig hemlighet ett värde i ett känt nyckelformat eller ett lösenord bredvid adressen till en offentlig server, inte en inloggningsuppgift som bekräftats fungera. Utöver reglerna kontrollerades värdena av en bedömande språkmodell. Apiiro testade inte inloggningsuppgifterna, men ett företag som Apiiro underrättat bekräftade att dess nyckel hade varit giltig. P.K. Sharmas analys påpekar att Apiiro säljer produkter för att skydda hemligheter och att ingen annan har upprepat beräkningen.

Ingen av hemlighetsskannrarna gitleaks och TruffleHog upptäckte 215 filer som innehöll hemligheter. Orsaken är att lösenordet som skrivits i kommandot inte liknar ett känt nyckelformat, uppger Apiiro.

Först byte, sedan rensning

Apiiro rekommenderar att man söker i GitHub-organisationen efter filerna .claude/settings.local.json och .claude/settings.json och går igenom git-historiken i varje kodförråd, även när filen inte längre finns kvar. Enzo Solers webbplats anger kommandot git log --all -- .claude/settings.local.json för att kontrollera historiken. I filer som hittas bör man läsa tillåtelsereglerna och leta efter lösenord, token och anslutningsadresser.

Apiiro rekommenderar att hemligheterna byts ut först och att rensningen görs därefter. Att radera filen räcker inte, eftersom äldre versioner finns kvar i git-historiken, i forkar och i kloner. I historiken hittades 734 hemligheter som inte längre fanns i någon aktuell kopia. Om git spårar filen tas den bort ur versionshanteringen med kommandot git rm --cached .claude/settings.local.json, och sökvägen läggs till i projektets egen .gitignore.

Även i filen som ligger kvar på datorn bör regler med hemligheter tas bort, eftersom skadeprogram har samlat in inloggningsuppgifter från utvecklares datorer. Apiiro rekommenderar att hemligheter anges med variabler som hämtas från hemlighetshanteringen, till exempel $DB_URL. Då hamnar bara variabelnamnet i regeln. Företaget rekommenderar också att man godkänner mönster i stället för enskilda kommandon.