Apiiro halló más de mil archivos públicos de Claude Code con contraseñas guardadas

Según la firma de seguridad Apiiro, una opción de Claude Code, la herramienta de programación asistida de Anthropic, dejó contraseñas y claves guardadas en archivos que luego quedaron públicos en GitHub. La empresa rastreó la plataforma y contó 1.122 archivos públicos de configuración con al menos un secreto: contraseñas de bases de datos, accesos SSH, claves de AWS y tokens de plataformas de código. Xataka, que recogió el informe, menciona también claves privadas. Hasta ahora no hay anuncio de un arreglo permanente.

El origen está en un atajo. Cuando Claude Code pide permiso para ejecutar un comando, el usuario puede elegir «Sí, y no vuelvas a preguntar». La herramienta guarda entonces esa aprobación como una regla en `.claude/settings.local.json`, un archivo dentro del proyecto, según describe la documentación de Anthropic. Según el informe de Apiiro, la regla contiene el comando completo, tal como se escribió: si llevaba una contraseña, queda guardada en el archivo, en texto plano.

Apiiro revisó 104.185 copias públicas de ese archivo en 103.617 repositorios. En 1.122 de ellas, alrededor de un 1,1 %, halló credenciales: 1.379 secretos distintos. El desglose que recoge la Cloud Security Alliance a partir del informe incluye 379 contraseñas de bases de datos, 43 accesos SSH a servidores públicos, 23 claves de AWS y 42 tokens de GitHub, GitLab y npm. Si se suman el historial de Git, la configuración compartida y las conversaciones guardadas del agente, el total sube a 2.539 secretos en 1.994 repositorios, según la misma nota.

Apiiro no probó si las credenciales siguen vigentes. Una de las empresas avisadas confirmó, según la firma, que su clave estaba activa. El hallazgo describe una exposición, no un ataque comprobado.

Boris Cherny, del equipo de Claude Code, respondió en el hilo de Hacker News donde se discutió el informe. Dijo que «.claude/settings.local.json is meant to stay local» y que no es un archivo para subir al control de versiones. Agregó que la herramienta lo excluye de Git automáticamente cuando lo crea, de modo que en estos casos «the files were manually created and checked in»: alguien los creó a mano y los subió. También reconoció que «Historically Claude Code has not done secret scrubbing», es decir, que históricamente la herramienta no ha depurado secretos, y que el equipo busca qué hacer para evitarlo. Recomendó usar el modo automático en lugar de las reglas de permisos y mantener activado el escaneo de secretos en el servidor de código.

Apiiro, por su parte, contó 539 repositorios, de 1.105 rastreados, donde un commit coautorado por Claude modificó el archivo. La documentación de Claude Code describe la protección: al escribir el archivo por primera vez, agrega la exclusión al archivo global de Git del usuario, no al repositorio. La Cloud Security Alliance lo lee así: resguarda solo el equipo donde se creó el archivo, no a quien clone el proyecto ni a un servidor de integración. Según Xataka, Anthropic prueba un escáner de secretos y una detección de fugas en el modo automático, sin fechas.

Para quien ya usó la opción, la nota de la Cloud Security Alliance recomienda dejar de rastrear `.claude/settings.local.json`, sumarlo al `.gitignore` del proyecto y rotar cualquier credencial expuesta antes de limpiar el historial. ITWire agrega que borrar el archivo no elimina los commits anteriores ni las copias en forks o clones. Ambas coinciden en pasar las contraseñas por un gestor de secretos o una referencia en tiempo de ejecución, y no escribirlas dentro de los comandos.

El atajo existe para que el agente trabaje sin pedir permiso a cada paso. Según Apiiro, el resultado fueron más de mil archivos públicos con credenciales; Cherny responde que esos archivos nunca debieron subirse. Queda abierta la pregunta de quién debe evitar que un secreto escrito en un comando termine en un repositorio público: la herramienta, el usuario o ambos.