Claude Code слил 1379 секретов: ключи AWS и пароли БД попали в публичные репозитории

Знакомая история: удобная функция превращается в дыру, потому что никто не смотрит, что именно она записывает на диск. На этот раз речь о Claude Code. По данным исследователей Apiiro, в публичных репозиториях GitHub лежат 1122 копии файла настроек агента, и в них нашли 1379 секретов: пароли баз данных, API-токены, ключи AWS и другие учётные данные.

Как секреты попадают в файл настроек

Claude Code спрашивает разрешение, прежде чем выполнить команду в терминале. Когда вы нажимаете «разрешать всегда», правило записывается в файл настроек внутри проекта. Проблема в том, что правило сохраняется как есть, вместе с аргументами команды.

Представьте: вы просите агента подключиться к базе и выполняете команду, где пароль передан прямо в строке запуска. Или запускаете curl с токеном в заголовке. Вы одобряете её навсегда, и вся строка, включая пароль, оказывается в файле. Дальше срабатывает привычка: git add, commit, push. Файл лежит в папке проекта, и многие не знают, что он там есть и что в нём написано.

В результате секрет живёт не в .env, который все давно добавляют в .gitignore, а в месте, о котором никто не думает. Это классическая слепая зона: инструменты защиты и привычки команд рассчитаны на привычные файлы с секретами, а не на конфигурацию AI-агента.

Почему это серьёзнее обычной утечки

Публичный GitHub постоянно сканируют боты. Ключ AWS, попавший в открытый репозиторий, обычно используют за считаные минуты: майнинг, спам, доступ к данным. Даже если вы удалите файл следующим коммитом, секрет остаётся в истории git.

Цифры Apiiro, судя по всему, лишь нижняя граница: исследователи нашли то, что видно по поиску, а приватные репозитории и форки в выборку не входят. К тому же такие же риски есть у любого агентного инструмента, который запоминает разрешённые команды: Cursor, Codex CLI, Gemini CLI и других.

Что делать прямо сейчас

Первое: проверьте свои репозитории. Найдите папку с настройками Claude Code и посмотрите список разрешённых команд. Любая строка с паролем, токеном или ключом — повод действовать.

Второе: если секрет мог попасть в публичный репозиторий, считайте его скомпрометированным. Просто удалить файл недостаточно, ключ нужно отозвать и выпустить новый. Чистка истории git помогает, но не гарантирует, что копию уже не забрали.

Третье: добавьте файл локальных настроек агента в .gitignore и подключите сканер секретов в pre-commit и CI. Gitleaks, TruffleHog или встроенная защита push на GitHub ловят такие вещи до публикации.

Четвёртое: не передавайте секреты в командной строке. Используйте переменные окружения, менеджеры секретов или короткоживущие токены, чтобы разрешённое правило не содержало ничего ценного. И не нажимайте «разрешать всегда» для команд с чувствительными аргументами.

Ограничения

Источник здесь — пост в X со ссылкой на исследование Apiiro, полного отчёта мы не видели. Неизвестно, сколько из 1379 секретов были действующими, а сколько уже отозваны или тестовые. Также пока не ясно, изменит ли Anthropic поведение: например, будет ли маскировать аргументы в сохраняемых правилах или предупреждать о риске коммита.

Но практический вывод не зависит от деталей. AI-агенты создают новые файлы с побочными данными, а старые привычки безопасности их не покрывают. Проверьте свои репозитории сегодня, а не после первого счёта от AWS.