Claude Code 被曝泄露开发者凭据，GitHub 上发现 2539 个真实密钥

问题根源在于授权机制：当开发者对 Shell 命令选择“是，且不再询问”时，授权规则连同命令原文（可能夹带密码或令牌）会被写入 .claude/settings.local.json。该文件本应加入全局 .gitignore，但克隆到新电脑或后初始化为 Git 仓库时可能失效。研究显示，每十个超过 8 KB 的设置文件中就有一个含真实秘密，而小于 500 字节的文件中比例不到五百分之一。Claude Code 有时还会未经确认自行提交设置文件，且 fork 后即使原仓库删除文件，密钥仍会留存。

泄露内容涉及 Azure 数据库密码、Square 生产令牌、SSH root 登录信息，甚至医疗记录数据库密码。早在 2025 年 8 月就有 bug 报告指出此问题，但因 60 天无活动被关闭。Claude Code 团队的 Boris Cherny 于 11 月 7 日回应称团队正在研究预防措施，并考虑内置密钥扫描功能。

官方正在修复：Claude Code 被爆把密码写进项目文件，GitHub 上发现 2539 个真实凭据

IT之家 11 月 10 日消息，科技媒体 Ars Technica 昨日（11 月 9 日）发布博文， 指出 AI 编程智能体 Claude Code 正在把部分开发者的敏感凭据意外暴露到公开的 GitHub 仓库中。 安全公司 Apiiro 的研究人员发现，超过 10 万份 Claude Code 本地设置文件被上传至公共仓库，其中约 1,100 份文件含有数据库密码、API Token、私钥或 root 登录信息等机密数据。结合 Git 历史记录、共享设置文件及智能体聊天记录， 共识别出 1,994 个代码库中的 2,539 个真实凭据。 受影响对象包括 63 个组织，涵盖学生团队、初创企业、软件代理商及成熟供应商，泄露内容涉及 Azure 数据库密码、Square 生产令牌、SSH root 登录信息，甚至医疗记录数据库的拥有者密码。IT之家附上相关信息如下： 庞大的允许列表会推高泄露率。每十个超过 8 KB 的文件中就有一个包含真正的秘密，而小于 500 字节的文件中，这一比例不到五百分之一。开发者点击“不再询问”的时间越长，文件包含的秘密就越多。 问题的根源在于 Claude Code 处理“自动执行命令”授权的方式。当用户在工具询问是否允许某条 Shell 命令运行时，若选择“是，且不再询问”，该授权规则会被写入本地的 .claude/settings.local.json 文件；而命令原文，包括其中可能夹带的密码、令牌或密钥，也可能一并被记录。 按设计，该设置文件应被加入开发者全局的 .gitignore ，通常不会随代码一起提交。但这一设置并不一定作用于具体仓库：当项目被克隆到另一台电脑，或某个普通文件夹后来才被初始化为 Git 仓库后，就可能误传敏感文件。 研究还称，Claude Code 有时会在未经用户确认的情况下，自行把设置文件变更提交到仓库。更麻烦的是，即使原始仓库删除了泄露文件，若其他用户已创建分支（fork），密钥仍可能继续留存。 该风险并非首次被发现。早在 2025 年 8 月，就有 Claude Code 的 bug 报告指出相关设置文件可能未被正确加入 .gitignore ，或敏感命令被写入其他不受 Git 保护规则的文件，这些报告后来因 60 天无活动而被关闭。 Claude Code 团队的 Boris Cherny 于 11 月 7 日在 Hacker News 回应称，团队正在研究预防措施，并表示设置文件本不应被提交到版本控制中。他也建议用户使用密钥扫描工具清理敏感信息，并称正考虑把密钥扫描功能内置到 Claude Code。

本条情报归属 AITOP「行业」核心栏目，重点聚焦北美前沿实验室与硅谷科技巨头。在跨区域产业观察坐标中，该动态直接关联「AI 开发者工具链、Coding Agent 与工程化实践」「各国 AI 监管法案、合规治理与主权算力政策」研究主线，反映出当前技术演进与商业落地的最新风向。涉及核心实体与技术议题包括：Claude Code、GitHub、AI安全、编程助手，读者可通过下方标签进入对应专题页查阅历史脉络与关联对比。

信源核验说明：本文原始线索采编自「IT之家」，经 AITOP 多维评分管线结构化提炼。