Apiiro halla 2.539 claves expuestas en GitHub, la mayoría en archivos de Claude Code

Contraseñas de bases de datos, claves de servicios en la nube y accesos a servidores que los programadores escribieron en comandos aprobados en Claude Code, el asistente de programación de Anthropic, están a la vista de cualquiera en GitHub. La empresa de seguridad de software Apiiro encontró 2.539 secretos reales en 1.994 repositorios públicos, la mayoría en el archivo donde Claude Code guarda los permisos, según un estudio que publicó el jueves 5 de noviembre.

El origen es una opción de uso diario. Claude Code pide permiso antes de ejecutar un comando, y si el usuario elige “Sí, y no volver a preguntar”, guarda ese comando tal cual, con la clave adentro, en el archivo .claude/settings.local.json de la carpeta del proyecto. De las 104.185 copias públicas de ese archivo en GitHub, 1.122 tenían al menos un secreto real, según el estudio, cuyas cifras reprodujeron The Hacker News y Daily CyberSecurity.

Qué encontró el estudio

Solo en las copias actuales de ese archivo había 1.379 secretos distintos. Más de un tercio abre una base de datos directamente: 379 contraseñas de bases de datos y 122 claves maestras de la plataforma Supabase. El total de 2.539 suma versiones anteriores del archivo, su versión compartida y conversaciones guardadas con agentes de programación.

Borrar el archivo no basta: las versiones anteriores, que siguen en el historial, guardaban 734 secretos que ya no aparecen en ninguna copia actual.

Apiiro identificó a 63 organizaciones afectadas, desde grupos de estudiantes hasta empresas emergentes, agencias de software y proveedores establecidos. Entre los casos más graves está la contraseña de dueño de la base de datos de una aplicación de fichas médicas. Los investigadores no probaron ninguna clave, pero una de las empresas notificadas confirmó que la suya funcionaba.

Gitleaks y TruffleHog, dos escáneres de secretos muy usados, no marcaron 215 de los 1.122 archivos: buscan formatos de clave conocidos, y una contraseña escrita dentro de un comando parece una palabra más, explica Apiiro.

Qué dice Anthropic

Claude Code intenta que el archivo no se suba: al crearlo, lo agrega a la lista global de archivos que ignora git en ese computador. Apiiro sostiene que esa protección no viaja con el proyecto y que en 539 de los 1.105 repositorios que rastreó, un commit firmado en coautoría por Claude modificó el archivo. De 16 agentes de programación que comparó, Claude Code es el único que, por defecto, guarda el comando completo en un archivo del proyecto.

Boris Cherny, responsable de Claude Code en Anthropic, respondió el sábado 7 en el foro Hacker News. “Históricamente Claude Code no ha limpiado secretos (hay muchas buenas herramientas para eso), pero estamos viendo qué podemos hacer para evitarlo”, escribió. Entre las opciones nombró que el modo automático detecte estos casos e “incorporar un escaneo básico de secretos”, y dijo que probará varias antes de lanzar algo. También afirmó que el archivo “está pensado para quedarse en local”, que Claude Code lo excluye de git al crearlo y que, por eso, las copias publicadas fueron creadas y subidas a mano.

Qué significa para las empresas de la región

Muchas empresas programan con agentes de IA o contratan agencias que lo hacen. El riesgo no exige un ataque sofisticado: basta una contraseña olvidada en un repositorio público. Cinco acciones:

1. Busca el archivo. Pide a tu equipo o a tu proveedor que revise en GitHub .claude/settings.local.json y .claude/settings.json, también en el historial y en las copias derivadas.
2. Cambia primero, limpia después. Toda clave que el archivo haya tenido debe reemplazarse, aunque el archivo ya no esté.
3. Ciérrale la puerta en cada proyecto. El archivo va en el .gitignore de cada repositorio y en las plantillas de la empresa, no solo en el computador de cada programador.
4. Fija una política de secretos. Ninguna contraseña se escribe dentro de un comando: se lee desde un gestor de secretos, y se aprueban patrones de comandos, no comandos con datos.
5. Prueba tu escáner. Verifica que detecte contraseñas dentro de comandos y que revise carpetas de agentes como .claude/ o .cursor/, igual que los archivos de configuración.

Qué mirar

Si Anthropic lanza el escaneo básico de secretos que dice estar prototipando y si Claude Code empieza a proteger el archivo dentro de cada proyecto; si otros agentes de programación revisan cómo guardan los permisos, y si alguna de las 63 organizaciones notificadas informa un uso indebido de sus claves.

A partir de información de Apiiro y Boris Cherny, Anthropic (Hacker News).