Claude Code razotkriva šifre i lozinke korisnika na javnom GitHubu

Programerski alat Claude Code, koji razvija kompanija Anthropic, postao je izvor curenja osjetljivih podataka na javnom GitHubu. Istraživači sigurnosti vještačke inteligencije iz firme Apiiro otkrili su da su u postavkama alata, uključenim u javne repozitorijume, završili podaci poput lozinki za baze podataka, API tokena i pristupa root nalogu.

Problem proizlazi iz načina na koji Claude Code pamti odobrenja korisnika za automatsko izvršavanje komandi. Kad korisnik odabere opciju „Yes, and don't ask again", ta se odluka pohranjuje kao pravilo u lokalnoj datoteci.claude/settings.local.json na njegovom računaru. Komanda se pritom često upisuje doslovno, zajedno sa svim osjetljivim podacima koje sadrži.

Dok datoteka ostaje na lokalnom računaru, rizik je mali. Anthropic u dokumentaciji navodi da se ta datoteka dodaje u globalnu.gitignore listu, što bi trebalo spriječiti njeno javno dijeljenje. Međutim, ta zaštita se ne primjenjuje na nivou samog repozitorijuma, pa datoteka može biti slučajno otpremljena ako se repozitorijum klonira na drugi računar ili ako neki folder kasnije postane repozitorijum. Apiiro dodatno navodi da Claude Code u mnogim slučajevima sam unosi izmjene u tu datoteku, bez znanja korisnika.

Istraživači su pronašli više od 100.000 slučajeva u kojima je lokalna datoteka s postavkama Claude Codea završila u javnom GitHub repozitorijumu. Od toga je njih oko 1.100, iz 63 različite organizacije, sadržavalo stvarne tajne poput API tokena, lozinki za baze podataka i privatnih ključeva. Problem ne nestaje brisanjem — podaci mogu ostati u forkovima originalnog projekta.

Problem nije nov: još u augustu 2025. prijavljen je kao greška u Claude Codeu. Druge prijave ukazivale su na to da osjetljiva datoteka ponekad nije dodavana u.gitignore listu ili da bi komande mogle završiti u datotekama bez zaštite od dijeljenja putem gita. Sve te prijave zatvorene su bez daljnjeg postupka nakon 60 dana neaktivnosti.

U raspravi na Hacker Newsu Boris Cherny iz tima Claude Codea rekao je da tim „razmišlja šta može učiniti da se ovo spriječi", uz napomenu da takve datoteke gotovo nikad ne bi trebale biti uključene u izvorni kod te da se takvi slučajevi dešavaju samo kad su datoteke „ručno kreirane i uključene". Kada je drugi korisnik uočio da se osjetljive komande mogu pohraniti u postavke i u auto modusu, Cherny je to nazvao „dobrom uočenom greškom" i dodao da tim „razmišlja kako ovo poboljšati".

Cherny je preporučio korištenje auto modusa, koji rutinske zahtjeve za odobrenje rutira automatski, te alata za skeniranje tajni, uz napomenu da tim razmatra ugrađivanje takvog skenera u sam Claude Code. No istraživači Apiira utvrdili su da dva popularna skenera, gitleaks i TruffleHog, nisu označila 215 od oko 1.100 javno izloženih tajni.

Ni ovo nije jedini slučaj da je AI agent nenamjerno omogućio curenje osjetljivih podataka — prošlog mjeseca Meta je obustavila funkciju dijeljenja svog agenta Muse nakon što su istraživači otkrili da se URL adrese tih linkova mogu lako pogoditi.