Apiiro halla que las aprobaciones «no volver a preguntar» de Claude Code dejaron secretos en 1.122 archivos públicos de GitHub

Según una investigación de Apiiro, empresa de seguridad de aplicaciones, una función de comodidad de Claude Code, la herramienta de programación de Anthropic, puede exponer credenciales en GitHub. Los resultados, basados en una instantánea del 2 de noviembre y difundidos el 5 de noviembre, fueron descritos en detalle por el sitio tecnológico MadRobot.

Cómo se produce la filtración

Cuando Claude Code pide permiso para ejecutar un comando de terminal, el usuario puede responder «Yes, and don't ask again». La propia documentación de Claude Code confirma que esa opción escribe la aprobación como regla allow en el archivo .claude/settings.local.json del proyecto. Lo que señala Apiiro es que la regla contiene el comando completo, de modo que una contraseña de base de datos o un token de API pasados en la línea de comandos quedan guardados en texto plano.

Según la documentación, Claude Code añade ese archivo a las exclusiones globales de git del usuario la primera vez que lo escribe. Apiiro sostiene que esa protección tiene huecos: no cubre una carpeta que más tarde se convierte en repositorio, un clon en otra máquina ni un archivo ya confirmado, y la regla nunca se añade al .gitignore del proyecto.

Lo que encontró Apiiro

De acuerdo con el relato de MadRobot, Apiiro revisó 104.185 copias públicas del archivo y halló lo que denomina secretos reales en 1.122 de ellas, que afectan a 63 organizaciones. Al sumar versiones antiguas, el archivo compartido .claude/settings.json y los registros de chat de los agentes, el total llegó a 2.539 secretos en 1.994 repositorios. Gitleaks marcó 564 de los 1.122 archivos, TruffleHog 643, y 215 escaparon a ambos, a menudo contraseñas escritas tras opciones como mysql -p. De 16 agentes de código comparados, Claude Code fue el único del que se confirmó que guarda por defecto el comando aprobado completo en un archivo del proyecto.

Apiiro no comprobó si las credenciales funcionaban: «real» significa que el valor coincide con un formato de clave o apunta a un host público. La empresa, además, vende productos de seguridad.

Respuesta y medidas recomendadas

MadRobot informa de que Anthropic no ha hecho comentarios. Apiiro cita cuatro avisos de usuarios en el GitHub de Claude Code desde agosto de 2025, sin respuesta de Anthropic. Lakera ya había detectado 428 paquetes npm que incluían el mismo archivo, con credenciales en 33 archivos de 30 paquetes.

Apiiro aconseja buscar ambos archivos de configuración en las organizaciones, incluido el historial de git; rotar cualquier secreto que hayan contenido, porque borrarlos no limpia forks ni clones; dejar de rastrear el archivo y añadirlo al .gitignore; y aprobar patrones que usen variables de entorno en lugar de comandos literales.