Claude Code Exposes Passwords and API Keys in Public GitHub Repositories
Descobertas recentes revelam que o assistente de codificação da Anthropic, Claude Code, pode armazenar senhas e chaves de API em arquivos de configuração públicos no GitHub. Quando um desenvolvedor seleciona “Sim, e não pergunte mais” em comandos aprovados, o sistema salva o comando exato, incluindo segredos, em um arquivo de configuração do projeto.
De acordo com a pesquisa da empresa de segurança Apiiro, existem 1.122 cópias públicas desse arquivo que contêm pelo menos um segredo. A organização não testou se essas chaves ainda são utilizáveis, mas confirmou que uma das empresas notificada anteriormente teve sua chave ativa.
O arquivo em questão é .claude/settings.local.json. Remover o arquivo de um projeto não reverte o vazamento, pois versões antigas permanecem no histórico do git e em forks do repositório. Os pesquisadores recomendam rotacionar todas as senhas, tokens e chaves que o arquivo já guardou, seguido da limpeza.
Por padrão, o Claude Code pergunta antes de executar a maioria dos comandos shell. Se o usuário escolhe “