Claude Code被曝写入密码：GitHub惊现2539个真实凭据

11月10日消息，科技媒体Ars Technica在11月9日发文称，AI编程智能体Claude Code正让部分开发者的敏感凭据意外出现在公开的GitHub仓库里。

安全公司Apiiro的研究人员发现，超过10万份Claude Code本地设置文件被传到了公共仓库。其中约1,100份含有数据库密码、API Token、私钥或root登录信息等机密数据。把Git历史记录、共享设置文件及智能体聊天记录放在一起排查，共在1,994个代码库中识别出2,539个真实凭据。

受波及的有63个组织，学生团队、初创企业、软件代理商及成熟供应商都在其中。泄露的内容涉及Azure数据库密码、Square生产令牌、SSH root登录信息，甚至还有医疗记录数据库的拥有者密码。相关信息如下：

允许列表越长，泄露率越高。超过8 KB的文件里，每十个就有一个藏着真正的秘密；小于500字节的文件中，这个比例不到五百分之一。开发者点“不再询问”的次数越多、时间越久，文件里夹带的秘密就越多。

问题出在Claude Code处理“自动执行命令”授权的方式上。工具会询问用户是否允许某条Shell命令运行，如果选了“是，且不再询问”，这条授权规则就会被写进本地的文件；命令原文也可能一起被记下来，里面夹带的密码、令牌或密钥自然也在其中。.claude/settings.local.json

按照设计，这个设置文件应该被加进开发者的全局，一般不会跟着代码提交。可这项设置未必对具体仓库生效：项目被克隆到另一台电脑，或者某个普通文件夹后来才被初始化为Git仓库，敏感文件就可能被误传上去。.gitignore

研究还提到，Claude Code有时不等用户确认，就自己把设置文件的变更提交到仓库。更棘手的是，就算原始仓库删掉了泄露文件，只要其他用户已经创建分支（fork），密钥仍可能留在那里。

这类风险不是第一次出现。早在2025年8月，就有Claude Code的bug报告指出，相关设置文件可能没被正确加入，或者敏感命令被写进了其他不受Git保护规则约束的文件，这些报告后来因60天无活动而被关闭。.gitignore

Claude Code团队的Boris Cherny于11月7日在Hacker News回应称，团队正在研究预防措施，并表示设置文件本不应被提交到版本控制中。他也建议用户使用密钥扫描工具清理敏感信息，并称正考虑把密钥扫描功能内置到Claude Code。