Исследователи обнаружили 2 539 учётных данных почти в 2 000 публичных репозиториев GitHub. Часть находок связали с файлами настроек Claude Code: помощник мог сохранить команду с секретом, а затем этот файл попадал в коммит. Для российских команд, активно пробующих агентную разработку, утечки секретов Claude Code — напоминание, что удобный режим «не спрашивать снова» способен стать инцидентом.
Как сообщает Dark Reading, исследование компании Apiiro охватило 104 185 публично доступных копий файла .claude/settings.local.json. В 1 122 файлах нашлись реальные секреты: всего 1 379 уникальных значений, среди которых 636 ключей, привязанных к конкретным провайдерам, и 743 пароля или токена для публичных хостов. В более широкой выборке исследователи насчитали 2 539 учётных данных — от паролей к базам данных и облачных ключей до API-токенов и SSH-доступов.
Проблема возникает в довольно будничном сценарии. Разработчик просит Claude Code проверить базу или обратиться к API, а агент предлагает команду, в которой уже присутствует значение из конфигурации. После подтверждения варианта «да, и больше не спрашивать» точная команда может быть записана в .claude/settings.local.json внутри каталога проекта. Сам файл не помечен как приватный: если он не исключён правилами репозитория, Git отправит его вместе с остальным кодом.
В Claude Code предусмотрена защита, но она оказалась слишком локальной: при создании файла инструмент добавляет его в глобальный список игнорирования Git на машине конкретного разработчика. Такая настройка не попадает в .gitignore проекта и не переносится при клонировании репозитория на другой компьютер. Иными словами, защита работает ровно до тех пор, пока проект не покинул ноутбук человека, который её получил.
Исследователи отдельно проверили 1 105 репозиториев с реальными секретами. В 539 из них затронутый файл менялся коммитом с соавторством Claude Code. Это не означает, что агент самостоятельно публикует доступы: финальное действие остаётся в Git-процессе команды. Но граница ответственности здесь неприятно размыта: разработчик подтверждает команду ради скорости, агент сохраняет её историю, а привычные проверки могут не считать каталог настроек агента местом для секретов.
Для бизнеса такие утечки секретов Claude Code опасны не только самим фактом публикации токена. Уже попавший в историю GitHub пароль нельзя считать защищённым после удаления файла из последнего коммита: его нужно отозвать или заменить, а историю — проверить. Apiiro рекомендует ротировать все данные, которые когда-либо хранились в подобных файлах, и удалить из них правила, содержащие секреты. Командам стоит добавить каталоги ИИ-агентов в pre-commit-проверки, сканирование репозитория и его истории, а также пересмотреть, какие файлы исключаются именно на уровне проекта.
Это меняет и практику внедрения кодовых агентов. Политики хранения ключей, секрет-сканеры и ревью должны охватывать не только исходники и CI-конфигурации, но и локальные настройки, журналы действий и транскрипты инструментов. Anthropic, по данным Apiiro, изучает варианты защиты — в том числе проверку секретов и изменения автоматического режима. Пока готового исправления нет, безопаснее исходить из простого правила: файл, который создаёт агент в рабочей директории, следует считать потенциальным контейнером чувствительных данных. Подробности исследования доступны у .
