研究称Claude Code权限文件在GitHub泄露密钥

Apiiro 研究人员发现，Claude Code 的“Yes, and don't ask again”选项会把含密码或 API 密钥的 shell 命令存入 .claude/settings.local.json 作为允许规则，文件被提交推送到 GitHub 后可致凭据公开泄露。研究者在 2026 年 11 月 1–3 日扫描了 104,185 份公开的该设置文件，在 1,122 份中发现真实密钥，连同 Git 历史等共涉及 1,994 个公开仓库中的… AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入

安全公司 Apiiro 称，在 1,994 个公开 GitHub 仓库中发现 2,539 个真实凭据，其中大部分位于 Anthropic Claude Code 生成的 .claude/settings.local.json 设置文件中。原因是开发者对建议命令选择「是，不再询问」后，Claude Code 会把含密码或密钥的完整命令写入该文件；Apiiro 称这是 Claude Code 自身行为而非模型行为，并在 Opus 5.5 和 Fable 5.1… AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入

Apiiro 的研究将 1,994 个 GitHub 公开仓库中 2,539 个敏感凭据的暴露追溯到编码 Agent 配置文件、Git 历史和会话记录，涉及 63 个组织。研究称，Claude Code 的“同意且不再询问”批准会把含凭据的命令原样存为 .claude/settings.local.json 中的允许规则，而全局 Git ignore 保护不随项目传播；一个组织确认其暴露的密钥曾有效。Apiiro 扫描了 104,185 份公开设置文件，在… AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入

安全公司 Apiiro 的研究发现，Claude Code 在用户选择“不再询问”后，会把完整命令连同其中的密码和 API 密钥以明文写入项目内的 .claude/settings.local.json，GitHub 公开仓库中有 1,122 份该文件至少含一个密钥。研究者共扫描 103,617 个仓库中的 104,185 份副本，约 1.1% 含密钥，合计 1,379 个不同密钥，其中 379 个是数据库密码、23 个是 AWS 密钥、42 个是 Git… AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入