Claude Code 被曝泄露开发者凭据，约 1100 份设置文件含机密数据

AI 编程智能体 Claude Code 被曝存在凭据泄露风险，部分开发者的敏感信息意外暴露在公开的 GitHub 仓库中。安全公司 Apiiro 发现，超 10 万份 Claude Code 本地设置文件被上传至公共仓库，其中约 1100 份含数据库密码、API Token、私钥等机密数据，共识别出 1994 个代码库中的 2539 个真实凭据，涉及 63 个组织，涵盖学生团队、初创企业及软件供应商。

问题根源在于 Claude Code 处理自动执行命令授权的方式。用户选择不再询问后，命令原文及夹带的密码、令牌会被写入本地设置文件，该文件在克隆项目或文件夹后续初始化为 Git 仓库时可能被误传，且即使删除泄露文件，其他用户创建的分支仍可能留存密钥。

Claude Code 团队回应称正研究预防措施，建议用户使用密钥扫描工具清理敏感信息，并考虑将密钥扫描功能内置到工具中。