Apiiro 发现 Claude Code 配置功能致密钥泄露至公开 GitHub 仓库

Coding-Agenten, die mittels künstlicher Intelligenz Programmierer bei ihren Aufgaben unterstützen und Code erzeugen, können aufgrund einer möglicherweise unbedacht genutzten Funktion geheime Zugangsdaten in öffentliche Git-Repositories ausleiten. Die Funktion dient dem Komfort und ist schnell angeklickt. Trotz verfügbarer Dokumentation werden dadurch abgelegte Zugangsdaten, API-Token und sonstige Geheimnisse öffentlich zugreifbar.

Weiterlesen nach der Anzeige

Davor warnt das IT-Sicherheitsunternehmen Apiiro in einem Blogbeitrag. Unter mehr als 100.000 öffentlich auf GitHub abgelegten Kopien einer Claude-Code-Konfigurationsdatei fanden die IT-Forscher über 1100, die echte Geheimnisse enthielten. Ursache ist eine dokumentierte Funktion von Claude Code, die bei Zugriffen auf Datenbanken oder APIs nachhakt, ob der vorgeschlagene Befehl ausgeführt werden soll, und dann als Option anbietet „Ja, nicht mehr fragen“ (wer Claude Code auf Englisch nutzt, sieht stattdessen: „Yes, and don’t ask again“). Der Befehl enthält die Zugangsdaten, und die Option führt dazu, dass diese in „.claude/settings.local.json“ im Projektordner landen.

Unbewusster Geheimnistransfer

Standardmäßig soll diese Datei auf den Entwicklerrechnern bleiben. Claude Code fügt sie der globalen Git-Ignore-Liste hinzu, wenn es diese Datei innerhalb eines Git-Repositorys anlegt. Das ist der übliche und häufigste Fall. Jedoch wirkt das dann nicht, wenn ein Ordner später erst zu einem Git-Repository wird, von einer anderen Maschine geklont wurde oder wenn jemand diese Datei bereits committet hat, wie die IT-Forscher ausführen. Dann landet die Regel nicht in der „.gitignore“-Datei des Repositorys, die Datei ist ungeschützt. Claude Code scheint die Datei in vielen Fällen selbst übertragen zu haben. Der Bericht erklärt, dass 539 der 1105 Repositories mit echten Geheimnissen einen Commit aufwiesen, in dem Claude als Mitautor die Datei verändert hat.

Dem Bericht zufolge scheint das vielen nicht klar zu sein. Die IT-Forscher haben 2539 echte Geheimnisse in 1994 öffentlichen GitHub-Repositories gefunden, darunter Datenbankpasswörter, Cloud-Keys, API-Token oder SSH-Root-Logins. Weitere 1160 Geheimnisse fanden sich in der Git-History, in der settings.json, die Teams laut Analyse absichtlich teilen, sowie in Agent-Chat-Transkripten, die in den Repositories gespeichert wurden.

Am Samstag hat Boris Cherny, Leiter von Anthropics Claude Code, laut Apiiro an einer Diskussion bei Hacker News teilgenommen und dort angekündigt, dass das Team sich anschaue, wie sich das verhindern lasse. Als Ansätze, die das Team prototypisch erproben will, nannte er, dass der Auto-Modus solche Fälle abfangen solle und Claude Code ein einfaches Scanning auf Geheimnisse erhalten könnte.

Apiiro rät, die eigene GitHub-Organisation und die Git-History nach „.claude/settings.local.json“ und „.claude/settings.json“ zu durchsuchen. Gefundene Zugangsdaten sollten Betroffene zuerst austauschen und erst danach aufräumen. GitHub versucht, dem ungewollten Veröffentlichen von Geheimnissen wie Zugangsdaten etwas entgegenzusetzen. Immer wieder legen die Entwickler Sicherheitsfunktionen hierfür nach. Etwa auch im Frühjahr 2025, als GitHub Advanced Security (GHAS) um ein Scan-Tool erweitert wurde, um das Abfließen von Geheimnissen zu verhindern.

Weiterlesen nach der Anzeige

(dmk)