Apiiro Finds Claude Code Configuration Feature Leaks Keys to Public GitHub Repositories
IT security firm Apiiro found more than 1,100 copies containing real keys among over 100,000 copies of Claude Code configuration files on GitHub, discovering a total of 2,539 real keys across 1,994 public repositories. The cause is that Claude Code's "don't ask again" option writes commands containing credentials into .claude/settings.local.json, and when that file is not covered by .gitignore, it is made public along with commits. Claude Code lead Boris Cherny said the team is working on an interception solution, and Apiiro recommends first rotating leaked credentials before cleaning up repositories and Git history.
Why read this
SelectedAI score 77
Scan data from security firm Apiiro reveals the leak path for Claude Code configuration files, allowing readers to check their own repositories and Git history accordingly.
Topics
Body
Coding-Agenten, die mittels künstlicher Intelligenz Programmierer bei ihren Aufgaben unterstützen und Code erzeugen, können aufgrund einer möglicherweise unbedacht genutzten Funktion geheime Zugangsdaten in öffentliche Git-Repositories ausleiten. Die Funktion dient dem Komfort und ist schnell angeklickt. Trotz verfügbarer Dokumentation werden dadurch abgelegte Zugangsdaten, API-Token und sonstige Geheimnisse öffentlich zugreifbar.
Weiterlesen nach der Anzeige
Davor warnt das IT-Sicherheitsunternehmen Apiiro in einem Blogbeitrag. Unter mehr als 100.000 öffentlich auf GitHub abgelegten Kopien einer Claude-Code-Konfigurationsdatei fanden die IT-Forscher über 1100, die echte Geheimnisse enthielten. Ursache ist eine dokumentierte Funktion von Claude Code, die bei Zugriffen auf Datenbanken oder APIs nachhakt, ob der vorgeschlagene Befehl ausgeführt werden soll, und dann als Option anbietet „Ja, nicht mehr fragen“ (wer Claude Code auf Englisch nutzt, sieht stattdessen: „Yes, and don’t ask again“). Der Befehl enthält die Zugangsdaten, und die Option führt dazu, dass diese in „.claude/settings.local.json“ im Projektordner landen.
Unbewusster Geheimnistransfer
Standardmäßig soll diese Datei auf den Entwicklerrechnern bleiben. Claude Code fügt sie der globalen Git-Ignore-Liste hinzu, wenn es diese Datei innerhalb eines Git-Repositorys anlegt. Das ist der übliche und häufigste Fall. Jedoch wirkt das dann nicht, wenn ein Ordner später erst zu einem Git-Repository wird, von einer anderen Maschine geklont wurde oder wenn jemand diese Datei bereits committet hat, wie die IT-Forscher ausführen. Dann landet die Regel nicht in der „.gitignore“-Datei des Repositorys, die Datei ist ungeschützt. Claude Code scheint die Datei in vielen Fällen selbst übertragen zu haben. Der Bericht erklärt, dass 539 der 1105 Repositories mit echten Geheimnissen einen Commit aufwiesen, in dem Claude als Mitautor die Datei verändert hat.
Dem Bericht zufolge scheint das vielen nicht klar zu sein. Die IT-Forscher haben 2539 echte Geheimnisse in 1994 öffentlichen GitHub-Repositories gefunden, darunter Datenbankpasswörter, Cloud-Keys, API-Token oder SSH-Root-Logins. Weitere 1160 Geheimnisse fanden sich in der Git-History, in der settings.json, die Teams laut Analyse absichtlich teilen, sowie in Agent-Chat-Transkripten, die in den Repositories gespeichert wurden.
Am Samstag hat Boris Cherny, Leiter von Anthropics Claude Code, laut Apiiro an einer Diskussion bei Hacker News teilgenommen und dort angekündigt, dass das Team sich anschaue, wie sich das verhindern lasse. Als Ansätze, die das Team prototypisch erproben will, nannte er, dass der Auto-Modus solche Fälle abfangen solle und Claude Code ein einfaches Scanning auf Geheimnisse erhalten könnte.
Apiiro rät, die eigene GitHub-Organisation und die Git-History nach „.claude/settings.local.json“ und „.claude/settings.json“ zu durchsuchen. Gefundene Zugangsdaten sollten Betroffene zuerst austauschen und erst danach aufräumen. GitHub versucht, dem ungewollten Veröffentlichen von Geheimnissen wie Zugangsdaten etwas entgegenzusetzen. Immer wieder legen die Entwickler Sicherheitsfunktionen hierfür nach. Etwa auch im Frühjahr 2025, als GitHub Advanced Security (GHAS) um ein Scan-Tool erweitert wurde, um das Abfließen von Geheimnissen zu verhindern.
Weiterlesen nach der Anzeige
(dmk)