Apiiro encontra segredos expostos por arquivos do Claude Code no GitHub

Pesquisadores de segurança da Apiiro encontraram mais de 100 mil arquivos “.claude/settings.local.json” do Claude Code enviados a repositórios públicos do GitHub. Cerca de 1.100 arquivos, de 63 organizações, continham segredos como senhas de bancos de dados, tokens de API, chaves privadas, logins de servidores SSH e chaves da AWS. O problema ocorre quando o usuário escolhe “Sim, e não perguntar novamente”: o comando aprovado pode ser salvo literalmente, incluindo credenciais. Embora o arquivo seja normalmente excluído pelo “.gitignore” global do desenvolvedor, essa proteção pode não valer no nível do repositório, e o Claude Code pode fazer commit do arquivo sem intervenção do usuário, segundo a Apiiro. Os segredos também podem continuar em cópias do repositório mesmo após a remoção do arquivo original.

Segundo o Xataka, Boris Cherny, responsável pelo Claude Code, reconheceu no Hacker News que a ferramenta não limpava segredos do conteúdo salvo e recomendou usar o modo automático e ativar a verificação de segredos no repositório. Ele disse que a equipe testa detecção de vazamentos no modo automático e um verificador básico integrado, sem prazo anunciado.