Claude Code凭据泄露：逾10万配置文件被传GitHub，含1100份机密
安全公司 Apiiro 的研究人员发现，超过 10 万份 Claude Code 本地设置文件被上传至公共仓库，其中约 1,100 份文件含有数据库密码、API Token、私钥或 root 登录信息等机密数据。
11 月 9 日，科技媒体 Ars Technica 发博文提到，AI 编程智能体 
Claude Code 正让部分开发者的敏感凭据意外流到公开的 GitHub 仓库里。
安全公司 Apiiro 的研究人员查到，逾 10 万份 Claude Code 本地设置文件被传到了公共仓库。其中约 1,100 份含有机密数据，类型包括数据库密码、API Token、私钥和 root 登录信息。把 Git 历史记录、共享设置文件以及智能体聊天记录放在一起比对后，一共认出了分布在 1,994 个代码库中的 2,539 个真实凭据。
被波及的有 63 个组织，学生团队、初创企业、软件代理商和成熟供应商都在其中。泄露的内容包括 Azure 数据库密码、Square 生产令牌、SSH root 登录信息，还有医疗记录数据库的拥有者密码。相关信息如下：
允许列表越长，泄露率越高。文件超过 8 KB 的，每十个里就有一个藏着真秘密；不到 500 字节的文件，这个比例低于五百分之一。开发者点“不再询问”点得越多，文件里攒下的秘密也越多。
根子出在 Claude Code 对“自动执行命令”授权的处理方式上。工具会问用户是否允许运行某条 Shell 命令，用户一旦选了“是，且不再询问”，这条授权规则就会被写进本地的.claude/settings.local.json文件。命令原文也可能跟着一起被记下来，而原文里或许就夹着密码、令牌或密钥。
按照设计，这个设置文件应当被加进开发者全局的.gitignore，一般不会跟代码一起提交。可这条设置未必对具体仓库生效：项目被克隆到另一台电脑，或者某个普通文件夹后来才被初始化为 Git 仓库，敏感文件就可能被误传上去。
研究还提到，Claude Code 有时不经用户确认，自己就把设置文件的变更提交进仓库。更棘手的是，就算原始仓库把泄露文件删了，只要别的用户已经建了分支（fork），密钥仍可能留着。
这个风险不是头一回被发现。2025 年 8 月就有 Claude Code 的 bug 报告指出，相关设置文件可能没被正确加入.gitignore，或者敏感命令被写进了其他不受 Git 保护规则管束的文件。这些报告后来因为 60 天没有活动而被关闭。
11 月 7 日，Claude Code 团队的 Boris Cherny 在 Hacker News 上回应说，团队正在研究预防办法，设置文件本来就不该被提交到版本控制里。他还建议用户拿密钥扫描工具清理敏感信息，并表示在考虑把密钥扫描功能做进 Claude Code。
