码农早餐 · 2026-11-08

Claude Code 的“别再问”在 1105 个仓库泄露密钥

Apiiro 11 月 5 日发文说，Claude Code 里一次很常见的授权操作，会把命令里的 secret 原样写进项目目录下的 .claude/settings.local.json。它统计了 GitHub 上 104,185 份这个文件，分布在 103,617 个公开仓库里，其中 1,122 份文件带有真实 secret，分布在 1,105 个仓库。按它的定义，这些文件一共暴露了 1,379 个不同的 secret，包括 636 个 provider key，以及 743 个连着公网主机名出现的密码或 token。再把 git 历史、团队共享的 settings.json 和 agent 对话转录算进去，范围扩大到 1,994 个仓库、2,539 个真实 secret，涉及 63 个组织。

问题出在 Claude Code 的“Yes, and don’t ask again”。当你让它去查数据库、调 API 或跑迁移时，命令本身往往要带密码、token 或连接串。Claude Code 每次执行 shell command 前会先问授权；一旦点了“别再问”，它会把这条命令本身写进 .claude/settings.local.json，作为后续放行规则。文章说，这是 Claude Code 的产品行为，不是某个模型单独出的错，他们用 Opus 5.5 和 Fable 5.1 都复现了。这个文件本来设计成只留在本机，Claude Code 也会把它加入用户的全局 git ignore，但不会写进仓库自己的 .gitignore，所以仓库后来才初始化、换机器 clone，或者文件已经被提交过，这层保护都对不上。

这件事和最近几周围着 Claude Code 的另一类问题能连起来看。11 月 6 日我们写过一个公开 issue：版本 2.1.318 在网页搜索时，会把用户邮箱放进 User-Agent 头发给第三方站点，issue 当时是 Open，带了 area:security 标签。10 月 17 日我们还写过，Claude 写了 Claude Code 自身约 90% 的代码，6 月到 9 月合并进代码库的 PR 数翻了一倍多，他们把大量 review 交给 agent。放在一起看，最近暴露出来的不是单个模型回答偏了，而是 Claude Code 这个产品层在“替你执行”和“替你记住”上的默认机制，已经开始碰到更具体的隐私和安全边界。

标题里最容易被略过去的一层，是它泄露的不只是常见 API key。Apiiro 说，1,122 份当前公开文件里，超过三分之一能直接打开数据库：379 个数据库密码，122 个 Supabase service-role key，另有 103 个 Supabase account token。还有 43 组 SSH 凭证，其中一些是 sshpass -p 形式的 root 密码。现成的 secret scanner 也没把这类东西全拦住：gitleaks 只标出 564 份，TruffleHog 标出 643 份，215 份两个都没报。它给出的原因很具体：很多泄露的是命令里的普通单词密码，不像 AWS key 那样有固定格式，所以扫描器按模式匹配时会漏掉。

目前能确认的是，这些文件在 2026 年 11 月 2 日都还在各自仓库的默认分支上；在含有真实 secret 的仓库里，文件首次提交到当时的中位数时间是 217 天前，118 个仓库甚至超过 1 年。删除当前文件也不等于问题结束，因为文章又在历史版本里找到了 734 个当前副本里已经看不到的 secret，分布在 509 个仓库；74 个仓库的泄露还被 211 个 fork 带走了。报道没有展开 Anthropic 或 GitHub 后来的处理，也没说这些公开文件在发文后清掉了多少。

来源：

• Apiiro：Coding Agents Are Leaking Your Secrets to GitHub

---

本文从过去 24h 的 X / Hacker News / GitHub Trending 共 46 条信息中选出这一件事展开。内容由 LLM 辅助生成并经事实校对，来龙去脉部分参考了本站往期内容，文末附原始来源链接，重要决策请交叉验证。