Anthropic旗下AI编程助手Claude Code存在一项隐蔽行为，导致数千名开发者在不知情的情况下，将包含数据库密码、云服务API令牌及SSH凭据等敏感信息的配置文件暴露于公共互联网。
安全研究人员指出，问题根源在于Claude Code处理“永久批准”Shell命令的机制。当开发者选择“是的，不要再问”以授权特定命令时，工具会将完整命令文本明文写入本地设置文件.claude/settings.local.json。若命令中包含硬编码凭据，这些敏感数据便会被直接记录。
超十万配置文件公开，数千密钥活跃
尽管Claude Code在设计上会将该文件加入全局Git忽略列表，防止其被提交至版本控制系统，但这一保护机制并非无懈可击。在跨机器克隆项目或将现有文件夹初始化为Git仓库等场景下，忽略规则可能未能正确同步，导致文件被意外上传。
安全公司Apiiro在公共GitHub仓库中发现了超过104,000份此类设置文件。经深入排查，研究人员确认其中1,122份文件包含真实且活跃的密钥，涉及近2,000个仓库中的2,539个独立凭据。受影响主体包括多家软件开发商及服务商。
值得注意的是，即便开发者随后从主分支删除了该文件，嵌入在Git历史记录中的凭据仍可被检索。此外，主流密钥扫描工具Gitleaks和TruffleHog在此次事件中表现不佳，未能识别出215个确认为活跃密钥的文件，主要原因在于这些工具难以解析嵌入在长Shell命令字符串中的凭据。
Anthropic回应：正在评估修复方案
Claude Code负责人Boris Cherny向媒体证实，公司已获悉该漏洞，目前正评估两项主要修复方向：一是在写入设置文件前增加内置密钥扫描功能；二是重构命令权限处理方式，避免持久化存储敏感命令字符串。
截至2026年11月9日，Anthropic尚未发布正式补丁或新版本。Cherny建议开发者立即使用第三方安全扫描仪核查本地设置文件是否被意外提交，并从仓库及其Git历史中彻底移除相关文件。对于已泄露的凭据，官方强调仅删除文件不足以确保安全，必须立即轮换所有可能受影响的密码、API密钥及令牌。
此次事件并非Claude Code近期唯一的安全争议。此前已有报告指出针对Cursor编辑器的篡改扩展程序植入SSH后门，以及假冒Claude下载页面窃取用户数据等行为。虽然设置文件泄露与上述攻击无直接关联，但接连发生的安全事件加剧了业界对AI编程工具安全性的审视。