Le credenziali di Claude Code sopravvivono alla cancellazione del file
Apiiro ha trovato 2.539 credenziali in 1.122 copie pubbliche su GitHub del file locale delle impostazioni di Claude Code. Una società avvisata ha confermato che la propria chiave era ancora attiva; Apiiro non ha verificato se lo siano le altre credenziali.
Quando uno sviluppatore approva un comando con «Sì, e non chiedermelo più», Claude Code può salvarlo per riutilizzarlo. Se contiene una password o una chiave, anche il segreto viene scritto in chiaro nel file. L’esclusione Git viene aggiunta alle impostazioni personali dello sviluppatore, non al progetto: un file già committato resta quindi nella cronologia e nei fork anche dopo la rimozione.
Per i team che usano Claude Code, il segreto esposto non coincide solo con ciò che il repository mostra oggi: ogni credenziale registrata può sopravvivere nelle copie pubblicate. Cancellare il file non invalida quelle credenziali; solo la loro rotazione chiude l’esposizione.
A command in Claude Code inadvertently saves files with credentials and other sensitive data to public Git repos, creating organizational security gaps.