Ars Technica · AI· Kyle Orland·· 2 小时前AI 评分58
Claude Code 设置文件在 GitHub 上泄露大量密钥
Claude Code is accidentally exposing secrets all over GitHub
AI 导读
安全研究机构 Apiiro 发现，Claude Code 的设置文件在公开 GitHub 仓库中泄露了数千条密钥，包括数据库密码、API token 和 root 登录信息。
正文 · AI 翻译
由于 Claude Code 在处理设置文件时存在部分疏漏，它正在公共 GitHub 实例上泄露敏感信息。这是 Apiiro 的 AI 安全研究人员的发现，他们在嵌入 GitHub 仓库的 Claude Code 设置文件中发现了数千条机密信息，包括数据库密码、API 令牌和 root 登录凭据。
泄露源于 Claude Code 处理用户对自动化 shell 命令批准的方式。当用户选择“是，且不再询问”选项来批准运行某条命令时，该选择会作为规则的一部分存储在用户计算机本地的“.claude/settings.local.json”文件中。该规则有时会被编码为模式，但命令本身通常会被原样写入该设置文件，包括其中可能嵌入的任何敏感信息。
如果设置文件保留在用户本地机器上（当然，前提是该机器本身未被攻破），这其实算不上重大的安全问题。而且 Anthropic 在其 Claude Code 文档中指出，这个特定的设置文件会被添加到开发者的全局 .gitignore 列表中，这通常能防止它被公开分享。
来源：Ars Technica · AI · arstechnica.com