Claude Code : l'option « ne plus demander » a fait fuiter des mots de passe — 1 122 fichiers publics contenaient 2 539 secrets

La société de sécurité Apiiro a indiqué le 5 novembre que l'option d'approbation « Oui, et ne plus demander » de Claude Code, l'outil de programmation par IA d'Anthropic, pouvait faire fuiter de vrais mots de passe et clés API dans des dépôts GitHub publics. En balayant GitHub du 1er au 3 novembre, les chercheurs ont trouvé de vrais secrets dans 1 122 des 104 185 copies publiques de .claude/settings.local.json, soit 1 379 identifiants distincts.

Une recherche élargie a trouvé 2 539 secrets au total

En examinant les commits antérieurs, les fichiers de paramètres partagés et les transcriptions d'agents, les chercheurs ont porté le total à 2 539 secrets distincts dans 1 994 dépôts publics, touchant 63 organisations, pour la plupart des entreprises de logiciels. Les identifiants exposés comprenaient la clé cloud de niveau administrateur d'un fournisseur de bases de données, un mot de passe de production Azure PostgreSQL, un jeton de production Square et le mot de passe propriétaire d'une base de données de dossiers médicaux ; une entreprise a confirmé à Apiiro que sa clé exposée était toujours active. Les mots de passe de bases de données représentaient la plus grande part, 379 au total, ainsi que 122 clés de rôle de service Supabase et 43 identifiants SSH, dont certains contenaient des mots de passe root.

Une approbation écrit le mot de passe dans un fichier de paramètres, puis il est poussé en ligne

La fuite suit un flux de développement ordinaire : un développeur demande à Claude Code de vérifier une base de données, de tester une API ou de dépanner une connexion, et l'outil prépare une commande shell contenant un identifiant, puis demande l'autorisation avant de l'exécuter. Choisir « Oui, et ne plus demander » enregistre cette commande, secret compris, dans le fichier .claude/settings.local.json du projet comme règle d'autorisation, permettant à Claude Code de la réexécuter sans nouvelle invite ; une fois ce fichier validé et poussé sur GitHub, le mot de passe devient public. Claude Code tente de l'éviter en ajoutant une exclusion au fichier global d'ignoration Git du développeur lors de la première écriture du fichier dans un dépôt, mais cette protection ne voyage pas avec le projet, ne couvre pas les fichiers déjà suivis et ne protège pas de manière fiable un dossier transformé en dépôt plus tard.

Les scanners standard ont manqué environ un cinquième des fichiers

Les scanners de secrets standard n'ont pas tout détecté non plus : sur les 1 122 fichiers de paramètres concernés, Gitleaks en a signalé 564 et TruffleHog 643, et aucun des deux n'a signalé 215 fichiers, car les mots de passe intégrés après PGPASSWORD=, sshpass -p ou dans des en-têtes de requête n'ont souvent pas les formats clairs utilisés pour reconnaître les clés émises par les fournisseurs. Apiiro conseille aux développeurs de rechercher .claude/settings.local.json dans les fichiers actuels et l'historique Git, de révoquer les identifiants exposés avant de supprimer les fichiers ou de réécrire l'historique, et d'utiliser des références de gestionnaire de secrets plutôt que des mots de passe en clair dans les commandes. Au 8 novembre, Anthropic n'avait pas réagi publiquement. Apiiro a souligné qu'il n'avait pas réellement essayé ces identifiants et qu'une seule entreprise avait confirmé la validité d'une clé ; il s'agit d'une exposition d'identifiants, et non d'une intrusion confirmée.