Nastavení Claude Code odhalilo na GitHubu tisíce citlivých údajů
Výzkumníci našli ve veřejných repozitářích GitHubu přes 100 tisíc případů zveřejněných místních nastavení Claude Code. Přibližně 1 100 z nich obsahovalo citlivé údaje, například přístupové tokeny, hesla k databázím nebo soukromé klíče.
Příkazy se mohou uložit včetně tajných údajů
Bezpečnostní výzkumníci společnosti Apiiro upozornili na riziko spojené se souborem `.claude/settings.local.json`, který Claude Code ukládá na počítači uživatele. Když uživatel povolí spuštění příkazu volbou „Yes, and don’t ask again“, nástroj si toto rozhodnutí zaznamená jako pravidlo. Někdy je pravidlo zapsáno jako vzor, jindy se do souboru uloží celý příkaz.
Pokud příkaz obsahuje citlivou informaci, může se spolu s ním uložit i ta. Jde například o přístupové tokeny k API, hesla k databázím nebo přihlašovací údaje s oprávněním roota. Samotné uložení na místním počítači podle článku nepředstavuje zásadní problém, pokud zařízení není napadeno. Riziko nastává, když se soubor dostane do veřejného repozitáře.
Ochrana závisí na nastavení Git
Dokumentace Anthropic uvádí, že tento místní soubor se přidává do globálního seznamu `.gitignore`. Ten obvykle brání tomu, aby Git soubor zahrnul do sdílených změn. Tato ochrana se ale podle Apiiro nepromítá přímo do nastavení konkrétního repozitáře. Soubor tak může uniknout například při klonování projektu na jiný počítač nebo když se z existující složky později stane repozitář.
Apiiro navíc uvádí, že Claude Code někdy změny v souboru nastavení odešle do repozitáře bez zásahu uživatele. Výzkumníci napočítali přes 100 000 případů, kdy se místní nastavení Claude Code objevilo ve veřejném repozitáři GitHubu. Přibližně 1 100 z těchto případů obsahovalo tajné údaje; týkaly se 63 různých organizací. Ani odstranění souboru z původního projektu nemusí problém vyřešit: údaje mohou zůstat ve forkách, tedy kopiích repozitáře.
Problém se řeší nejméně od roku 2025
Na možné zveřejňování citlivých údajů upozornilo hlášení chyby v Claude Code už v srpnu 2025. Další hlášení zmiňovala, že soubor někdy nebyl přidán do uživatelova `.gitignore` nebo že se citlivé příkazy mohly ukládat do jiného, nechráněného souboru. Podle Ars Technica byla tato hlášení uzavřena po 60 dnech nečinnosti.
Boris Cherny z týmu Claude Code v diskusi na Hacker News napsal, že tým „zkoumá, co můžeme udělat, abychom tomu zabránili“. Zároveň uvedl, že tyto soubory by se do správy verzí běžně vůbec neměly dostat a že se zdá, že v popsaných případech byly vytvořeny a přidány ručně. Když jiný uživatel upozornil, že se citlivé příkazy mohou ukládat i v automatickém režimu, Cherny to označil za „dobrý postřeh“.
Ani skenery nemusí zachytit vše
Cherny doporučil používat automatický režim Claude Code, který pomocí klasifikátorů vyřizuje běžné žádosti o povolení. Uživatelé tak nemusí ručně udržovat seznamy povolených a zakázaných příkazů. Doporučil také skenery tajných údajů, které prohledávají soubory a citlivé informace odstraňují. Anthropic podle něj zvažuje, že podobnou kontrolu časem zabuduje přímo do Claude Code.
Na úplnou ochranu těchto nástrojů ale není možné spoléhat: z přibližně 1 100 nalezených veřejných tajných údajů nedokázaly dva populární skenery, gitleaks a TruffleHog, odhalit 215. Nejde navíc o první případ, kdy agent s umělou inteligencí nechtěně zpřístupnil citlivé informace. V předchozím měsíci Meta pozastavila funkci sdílení svého agenta Muse poté, co výzkumníci zjistili, že adresy sdílených odkazů lze snadno odhadnout.