Passwörter und API-Schlüssel von Entwicklern sind in öffentlichen GitHub-Repositories aufgetaucht, nachdem Claude Code freigegebene Befehle mit diesen Daten gespeichert hatte. Das berichtete The Hacker News unter Berufung auf Erkenntnisse, die Apiiro offengelegt hatte. Das Sicherheitsunternehmen fand Zugangsdaten in 1.122 öffentlichen Kopien von .claude/settings.local.json. Es empfiehlt, offengelegte Zugangsdaten auszutauschen, bevor die Dateien entfernt werden, da Kopien in der Repository-Historie und in Forks erhalten bleiben können.
Die Befunde betreffen Entwickler und Organisationen, die den Coding-Assistenten von Anthropic nutzen, insbesondere jene, die Befehle freigeben, die Datenbankpasswörter, Zugriffstokens oder Cloud-Schlüssel enthalten. Apiiro prüfte nicht, ob die Zugangsdaten noch funktionierten. Ein Unternehmen, das früher in dieser Woche benachrichtigt worden war, bestätigte jedoch, dass sein Schlüssel aktiv gewesen war. Ob jemand die offengelegten Zugangsdaten bereits genutzt hat, ist unbekannt.
Wie aus einer Freigabe gespeicherte Zugangsdaten werden
Claude Code fragt vor den meisten Shell-Befehlen normalerweise um Erlaubnis. Laut der Beschreibung der Berechtigungsdokumentation durch The Hacker News speichert die Auswahl von „Yes, and don’t ask again“ eine Erlaubnisregel in der Datei .claude/settings.local.json des Projekts. Passende Befehle können danach in späteren Sitzungen ohne erneute Abfrage ausgeführt werden.
Die gespeicherte Erlaubnis kann ein Befehlsmuster wie npm test * oder genau einen bestimmten Befehl abdecken. Speichert sie den exakten Befehl, bleiben darin enthaltene Passwörter und Tokens im Klartext erhalten. Apiiro fand solche Regeln in öffentlichen Repositories und konnte das Verhalten mit den Modellen Opus 5.5 und Fable 5.1 reproduzieren.
Claude Code hat eine Schutzmaßnahme gegen das Committen der Datei. Laut Einstellungsdokumentation trägt es beim ersten Schreiben der Datei innerhalb eines Git-Repositorys den Pfad in die globalen Git-Ausschlüsse des Nutzers ein. Damit weist Git auf diesem Rechner an, die Datei in allen Repositories zu ignorieren.
Der Ausschluss gehört jedoch zur Konfiguration eines einzelnen Nutzers auf einem einzelnen Rechner. Er wandert nicht mit dem Projekt, und die Forscher sagten, er schütze keine bereits committete Datei. Claude Code trägt den Pfad nicht in die eigene .gitignore des Projekts ein, die gemeinsame Regeln zum Ausschließen von Dateien enthält.
In 539 der 1.105 Repositories, die Apiiro zurückverfolgte, veränderte ein Commit die Einstellungsdatei, der Claude als Mitautor nennt. Die Forscher deuteten dies als Hinweis darauf, dass Claude die Datei oft selbst committet.
Was offengelegt wurde
Apiiro durchsuchte 104.185 öffentliche Kopien von .claude/settings.local.json in 103.617 GitHub-Repositories. Von diesen Dateien enthielten 1.122 – rund 1,1 Prozent – mindestens eine Zugangsdaten, insgesamt 1.379 verschiedene Zugangsdaten.
Die Forscher zählten einen Wert, wenn er einem bekannten Schlüsselformat entsprach oder als Passwort oder Token neben einer öffentlichen Serveradresse auftauchte. Außerdem musste ein KI-Prüfer der Einstufung zustimmen.
Mehr als ein Drittel der Zugangsdaten ermöglichte direkten Datenbankzugriff, darunter 379 Datenbankpasswörter. Weitere Funde waren 43 SSH-Logins für den Fernzugriff auf öffentliche Server, 42 Tokens für GitHub, GitLab und npm sowie 23 AWS-Schlüssel.
Zu den Eigentümern der Dateien gehörten 63 Organisationen, überwiegend Softwareunternehmen unterschiedlicher Größe. Zu den stärksten Funden zählte Apiiro einen Cloud-Schlüssel mit Administratorrechten eines Datenbankanbieters selbst sowie das Eigentümerpasswort einer Datenbank mit Patientenakten.
Stand Montag lag jede Datei mit Zugangsdaten weiterhin auf dem Standard-Branch ihres Repositorys – dem Haupt-Entwicklungszweig, der standardmäßig angezeigt wird. In der Hälfte dieser Repositories war die Datei seit mindestens 217 Tagen vorhanden.
Das Entfernen der aktuellen Datei lässt weitere Offenlegungswege offen. Frühere Versionen enthielten weitere 734 Zugangsdaten in 509 Repositories, die in keiner aktuellen Kopie mehr vorhanden waren, meist weil die Datei gelöscht worden war. Weitere 211 Forks – eigenständige Repository-Kopien – von 74 Repositories trugen dieselben Zugangsdaten wie ihre Originale.
Apiiro fand außerdem in 298 von 76.011 Kopien von .claude/settings.json Zugangsdaten. Diese gemeinsam genutzte Einstellungsdatei committen Teams bewusst, meist innerhalb von Erlaubnisregeln. Einschließlich gemeinsamer Einstellungen, früherer Versionen und gespeicherter Agenten-Chatprotokolle zählten die Forscher 2.539 Zugangsdaten in 1.994 Repositories.
Von 16 Coding-Agenten, deren Dokumentation Apiiro verglich, war Claude Code der einzige, bei dem bestätigt wurde, dass er den vollständigen freigegebenen Befehl standardmäßig in einer Projektdatei speichert.
Scanner übersahen Passwörter in Befehlen
Apiiro ließ die Secret-Scanner Gitleaks und TruffleHog auf jeder Kopie laufen, ohne deren jeweiligen Verifizierungsschritt. Unter den 1.122 lokalen Einstellungsdateien mit Zugangsdaten meldete Gitleaks 564, TruffleHog 643. Bei 215 Dateien schlug keines der beiden Tools an.
Die meisten übersehenen Werte waren Passwörter, die in Befehlen eingebettet waren. Ein Scanner, der nach einem erkennbaren Schlüsselformat sucht, kann ein unauffällig wirkendes Wort nach PGPASSWORD=, sshpass -p oder mysql -p übersehen.
Offenlegung kann auch ohne GitHub-Commit geschehen. Die Klartext-JSON-Datei liegt im Projektordner und kann in ein npm-Paket, ein Docker-Image, ein ZIP-Archiv oder einen synchronisierten Ordner aufgenommen werden. Der Bericht nennt als Beispiel den Schadcode-Wurm Shai-Hulud vom September 2025, der Entwicklerrechner mit TruffleHog durchsuchte. TruffleHog hatte in Apiiros Scan mehr als die Hälfte dieser Dateien markiert.
Nutzer hatten das Speicherverhalten bereits gemeldet. Ein Fehlerbericht vom 11. August 2025 beschrieb, dass freigegebene Befehle mit API-Schlüsseln und Tokens Wort für Wort gespeichert wurden. Ein automatisierter Bot schloss ihn am 3. Januar als „not planned“, nachdem 60 Tage keine Aktivität stattgefunden hatte. Apiiro zufolge wurden alle vier zitierten verwandten Berichte von diesem Bot geschlossen, ohne dass Anthropic geantwortet hatte. Die jüngste Schließung erfolgte am Tag vor dem Bericht.
Zugangsdaten vor der Bereinigung austauschen
Apiiro empfiehlt Entwicklern, in ihren GitHub-Organisationen nach beiden Einstellungsdateien zu suchen und die Git-Historie zu prüfen, auch in Repositories, aus denen die Dateien inzwischen verschwunden sind. Alle Passwörter, Tokens und Schlüssel, die diese Dateien enthielten, sollten vor der Bereinigung ausgetauscht werden.
Anschließend sollten Entwickler die lokale Einstellungsdatei mit git rm --cached .claude/settings.local.json nicht mehr versionieren und ihren Pfad in die .gitignore des Repositorys eintragen. Außerdem sollten sie lokale Kopien prüfen, auch solche, die nie committet wurden, und Regeln mit Zugangsdaten entfernen.
Um künftig keine Zugangsdaten in Freigaben zu speichern, empfiehlt Apiiro, auf Zugangsdaten über Variablen eines Secrets Managers zu verweisen, etwa $DB_URL. So speichert die Regel nur den Variablennamen. Außerdem empfiehlt das Unternehmen, Befehlsmuster wie Bash(npm run:*) freizugeben, statt einzelne Befehle mit sensiblen Werten.
Security-Teams sollten Agenten-Verzeichnisse – darunter .claude/, .cursor/, .gemini/ und .specstory/ – sowie Speicherdateien der Agenten auf Laptops und in Repositories wie .env-Konfigurationsdateien als mögliche Zugangsdatenspeicher behandeln. Apiiro empfiehlt, sie samt ihrer Git-Historie in Pre-Commit- und Continuous-Integration-Scans aufzunehmen, sicherzustellen, dass Scanner Passwörter innerhalb von Befehlen erkennen, und .claude/settings.local.json in die unternehmensweiten .gitignore-Vorlagen aufzunehmen. Vorrang sollten Zugangsdaten haben, die mit öffentlichen Serveradressen gekoppelt sind, raten die Forscher, da sie einen unmittelbaren Zugangsweg bieten.
