KI SpotlightNewsApiiro findet Klartext-Secrets in 1.122 öffentlichen Claude-Code-Dateien
Gitleaks und TruffleHog übersehen 215 der betroffenen Dateien. Das Verhalten ist dokumentiert, eine Reaktion von Anthropic ist nicht belegt.
Mit KI erstelltInhalt
◆ Fakten auf einen Blick
- Claude Code speichert bei „Yes, and don't ask again“ eine Allow-Regel in .claude/settings.local.json.
- Exakte Befehle werden im Klartext gespeichert, auch Passwörter oder Tokens wie PGPASSWORD.
- Apiiro prüfte 104.185 Kopien in 103.617 öffentlichen GitHub-Repositories; 1.122 enthalten Secrets.
- Die 1.379 Secrets umfassen 379 Datenbankpasswörter, 43 SSH-Zugangsdaten, 42 VCS-Tokens und 23 AWS-Keys.
- Gitleaks markierte 564 und TruffleHog 643 der 1.122 Dateien; keiner beider Scanner fand 215.
1.122 öffentliche Dateien enthalten Passwörter, Tokens und Schlüssel
Das Sicherheitsunternehmen Apiiro hat 104.185 Kopien der Datei .claude/settings.local.json in 103.617 öffentlichen GitHub-Repositories untersucht. Erhoben wurden die Daten vom 1. bis 3. November. In 1.122 Kopien, rund 1,1 Prozent, steht mindestens ein Secret im Klartext. Insgesamt zählt Apiiro 1.379 Funde. Verfasst haben die Studie die Forscher Shmulik Cohen und Matan Giladi; sie erschien am 5. November. The Hacker News berichtete am 7. November darüber.
Nach Apiiro-Angaben stammen unter anderem 379 Datenbankpasswörter, 43 SSH-Zugangsdaten, 42 Tokens von Versionsverwaltungen und 23 AWS-Access-Keys aus den Funden. Als Besitzer der Dateien identifizierte Apiiro 63 Organisationen.
„Yes, and don't ask again“ speichert den Befehl wortwörtlich
Wer bei einem Shell-Befehl „Yes, and don't ask again“ wählt, legt eine Allow-Regel in .claude/settings.local.json im Wurzelverzeichnis des Git-Repositorys an. Laut Anthropic-Dokumentation gilt sie dauerhaft pro Repository und Befehl, auch in künftigen Sitzungen.
Die Regel erfasst nur, was der Prompt angeboten hat. Manchmal ist das ein Muster wie „npm test *“, manchmal der exakte Befehl. Im zweiten Fall landet alles, was der Nutzer eingetippt hat, im Klartext in der Datei, etwa ein Passwort hinter PGPASSWORD=. Die Regel merkt sich den Befehl samt Secret als Ganzes. Apiiro reproduzierte dieses Verhalten mit Opus 5.5 und Fable 5.1. Es hängt demnach nicht an einer bestimmten Modellgeneration.
Gitleaks und TruffleHog übersehen 215 Dateien
Laut Apiiro-Report markierte Gitleaks 564 der 1.122 Dateien, TruffleHog 643. Bei 215 Dateien schlug keiner der beiden Scanner an. Sicherheitsteams müssen Secret-Scanning daher gezielt auf Konfigurationsdateien von Coding-Agenten ausweiten. Auf die Standardabdeckung dieser Werkzeuge sollten sie sich nicht verlassen.
Rotieren zuerst, aufräumen danach: Löschen reicht nicht
Die Datei zu löschen behebt den Leak nicht. Ältere Versionen bleiben in der Git-Historie und in Forks erhalten. Apiiro rät deshalb, zuerst alle Passwörter, Tokens und Schlüssel zu rotieren, die die Datei je enthielt, und erst danach aufzuräumen. Ob die gefundenen Secrets noch gültig sind, hat Apiiro nicht geprüft. Ein vorab benachrichtigtes Unternehmen bestätigte allerdings, dass sein Schlüssel aktiv war.
Neu ist an der Studie die Größenordnung, nicht das Verhalten. Die Anthropic-Dokumentation beschreibt den Mechanismus, und ein Bug-Report vom August 2025 nennt bereits Klartext-Credentials in der Datei. Eine Reaktion von Anthropic auf die Apiiro-Studie ist nicht belegt.
