Claude Code filtró 1379 secretos: claves de AWS y contraseñas de bases de datos acabaron en repositorios públicos

Es una historia conocida: una función práctica se convierte en un agujero de seguridad porque nadie comprueba qué escribe exactamente en el disco. Esta vez le toca a Claude Code. Según investigadores de Apiiro, los repositorios públicos de GitHub contienen 1122 copias del archivo de configuración del agente, en las que encontraron 1379 secretos: contraseñas de bases de datos, tokens de API, claves de AWS y otras credenciales.

Cómo acaban los secretos en el archivo de configuración

Claude Code pide permiso antes de ejecutar un comando en la terminal. Al pulsar «permitir siempre», la regla se guarda en un archivo de configuración dentro del proyecto. El problema es que se guarda tal cual, incluidos los argumentos del comando.

Imagina que le pides al agente que se conecte a una base de datos y ejecutas un comando que incluye la contraseña directamente en la línea de comandos. O que ejecutas curl con un token en una cabecera. Lo autorizas de forma permanente y toda la línea, incluida la contraseña, acaba en el archivo. Después entra en juego la costumbre: git add, commit, push. El archivo está en la carpeta del proyecto y muchos no saben que existe ni qué contiene.

El resultado es que el secreto queda en un lugar que nadie piensa en revisar, en vez de en un archivo .env que todo el mundo lleva tiempo añadiendo a .gitignore. Es un punto ciego clásico: las herramientas de seguridad y los hábitos de los equipos están pensados para los archivos habituales que contienen secretos, no para la configuración de un agente de IA.

Por qué es más grave que una filtración habitual

Los bots rastrean constantemente los repositorios públicos de GitHub. Una clave de AWS expuesta en un repositorio público suele utilizarse en cuestión de minutos: para minería, spam o acceso a datos. Aunque borres el archivo en el siguiente commit, el secreto permanece en el historial de git.

Las cifras de Apiiro parecen ser solo un límite inferior: los investigadores encontraron lo que era visible mediante búsquedas, mientras que los repositorios privados y los forks quedaron fuera de la muestra. Además, cualquier herramienta basada en agentes que recuerde comandos autorizados presenta los mismos riesgos: Cursor, Codex CLI, Gemini CLI y otras.

Qué hacer ahora mismo

Primero: revisa tus repositorios. Busca la carpeta de configuración de Claude Code y examina la lista de comandos permitidos. Cualquier línea con una contraseña, un token o una clave es motivo para actuar.

Segundo: si un secreto pudo acabar en un repositorio público, considéralo comprometido. No basta con borrar el archivo: hay que revocar la clave y generar una nueva. Limpiar el historial de git ayuda, pero no garantiza que nadie haya obtenido ya una copia.

Tercero: añade el archivo de configuración local del agente a .gitignore e integra un escáner de secretos en pre-commit y en CI. Gitleaks, TruffleHog o la protección de inserción integrada de GitHub pueden detectar estos casos antes de su publicación.

Cuarto: no pases secretos en la línea de comandos. Utiliza variables de entorno, gestores de secretos o tokens de corta duración para que la regla de autorización guardada no contenga nada de valor. Y no pulses «permitir siempre» para comandos con argumentos sensibles.

Limitaciones

La fuente es una publicación en X que enlaza a la investigación de Apiiro; no hemos visto el informe completo. Se desconoce cuántos de los 1379 secretos seguían activos y cuántos ya se habían revocado o eran credenciales de prueba. Tampoco está claro si Anthropic cambiará este comportamiento: por ejemplo, si ocultará los argumentos en las reglas guardadas o advertirá del riesgo de incluir el archivo en un commit.

Pero la conclusión práctica no depende de esos detalles. Los agentes de IA crean nuevos archivos con datos incidentales que los hábitos de seguridad de siempre no contemplan. Revisa tus repositorios hoy, antes de que llegue la primera factura de AWS.