Bezbednosni propust u alatu Claude Code izložio lozinke i ključeve na servisu GitHub

Bezbednosni stručnjaci kompanije Apiiro upozorili su da alat Claude Code dovodi do curenja osetljivih podataka u javna GitHub spremišta zbog načina na koji čuva odobrenja korisnika. Kada programer odabere trajno odobravanje određene komande u ljusci, ona se beleži u lokalni konfiguracioni fajl settings.local.json, često zajedno sa osetljivim podacima poput lozinki za baze i API ključeva.

Iako kompanija Anthropic dodaje ovu datoteku na globalnu .gitignore listu, to nije konfigurisano na nivou samog spremišta. Ukoliko se projekat klonira na drugi računar ili naknadno postane git spremište, fajl lako završi na internetu. Istraživači su zabeležili preko 100.000 javno postavljenih konfiguracija, od kojih je oko 1.100 iz 63 organizacije sadržalo kritične tajne podatke.

Problem je bio prijavljen kao greška još u avgustu 2025. godine, ali su ti izveštaji zatvoreni bez akcije. Predstavnik tima Claude Code Boris Cherny izjavio je da razmatraju rešenja i posavetovao korišćenje automatskog režima i skenera tajni, iako je analiza pokazala da čak ni popularni alati gitleaks i TruffleHog nisu prepoznali sve procurele podatke.