Claude Code допускает утечку конфиденциальной информации в общедоступных экземплярах GitHub из-за частичного упущения в обработке файлов настроек. К такому выводу пришли исследователи безопасности ИИ из Apiiro, которые обнаружили тысячи секретов, включая пароли от баз данных, токены API и корневые учетные записи, в файлах настроек Claude Code, встроенных в репозитории GitHub.
Утечка возникает из-за того, как Claude Code обрабатывает одобрение пользователем автоматических команд оболочки. Когда пользователь выбирает опцию «Да, и больше не спрашивать» для одобрения выполнения команды, этот выбор сохраняется как часть правила в локальном файле `.claude/settings.local.json` на компьютере пользователя. Это правило иногда кодируется как шаблон, но сама команда часто записывается в этот файл настроек как есть, включая любую конфиденциальную информацию, которая может быть в ней встроена.
Это не является существенной проблемой безопасности, если файл настроек остается на локальной машине пользователя (при условии, что сама машина не будет скомпрометирована, конечно). И Anthropic отмечает в своей документации Claude Code, что этот конкретный файл настроек добавляется в глобальный список `.gitignore` разработчика, что обычно предотвращает его публичное распространение.
Однако настройка `.gitignore` не отражается на уровне репозитория, что означает, что конфиденциальный файл может быть случайно загружен, если репозиторий клонируется на другую машину или папка позже становится репозиторием, например. Во многих случаях сам Claude Code фиксирует изменения в файле настроек без участия пользователя, пишет Apiiro.
Исследователи Apiiro обнаружили более 100 000 случаев, когда локальный файл настроек Claude Code был загружен в общедоступный репозиторий GitHub. Из них только около 1100 из 63 различных организаций содержали секреты, такие как общедоступные токены API, пароли баз данных или закрытые ключи. Даже после обнаружения и удаления этих файлов из репозитория секреты могут сохраняться в форках исходного проекта, если пользователь GitHub не будет осторожен.
Что делать?
Хотя этой проблеме безопасности уделяется больше внимания сейчас, она была отмечена в отчете об ошибке Claude Code еще в августе 2025 года. Другие отчеты об ошибках также отмечали, что конфиденциальный файл настроек иногда не добавлялся в `.gitignore` пользователя или что Claude Code мог добавлять конфиденциальные команды в другой файл, который не был защищен от общего доступа git. Все эти отчеты об ошибках были закрыты без действий после 60 дней неактивности.
В ветке комментариев на Hacker News на выходных Борис Черный из Claude Code заявил, что команда «изучает, что мы можем сделать, чтобы предотвратить это». Тем не менее, он отметил, что эти файлы настроек никогда не должны попадать в систему контроля версий пользователя, и что подобные случаи возникали только тогда, когда «файлы создавались и фиксировались вручную».
Тем временем Черный рекомендовал использовать режим автоконфигурации Claude Code, который использует классификаторы для автоматической маршрутизации «обычных запросов на разрешение» без необходимости того, что Черный называет «ручным поддержанием сложных списков разрешений/запретов». Но когда другой пользователь отметил, что конфиденциальные команды все еще могут быть сохранены в файлах настроек в автоматическом режиме, Черный назвал это «хорошим замечанием» и добавил, что команда «обдумывает, что мы можем сделать, чтобы улучшить это».
Черный также рекомендует пользователям Claude Code использовать сканеры секретов — которые могут сканировать файлы на наличие конфиденциальной информации и удалять ее — и заявил, что команда рассматривает возможность встраивания такого сканирования секретов в сам Claude Code в будущем. Тем не менее, исследователи Apiiro обнаружили, что 215 из примерно 1100 общедоступных секретов, найденных в файлах настроек Claude Code, не были обнаружены двумя популярными сканерами секретов, gitleaks и TruffleHog.
Это далеко не единственный случай, когда ИИ-агент непреднамеренно раскрывает конфиденциальную информацию. В прошлом месяце *Meta приостановила функцию обмена в своем агенте Muse после того, как исследователи безопасности обнаружили, что URL-адреса для этих ссылок можно легко угадать.
*Facebook, *Instagram и *WhatsApp принадлежат компании *Meta Platforms Inc., деятельность которой признана экстремистской и запрещена на территории Российской Федерации.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Kyle Orland
