Claude Code está exponiendo información sensible en repositorios públicos de GitHub, y el problema proviene de un archivo de configuración en el que muchos desarrolladores nunca piensan. Investigadores de seguridad de Apiiro afirman haber encontrado miles de secretos, incluidas contraseñas de bases de datos, tokens de API e inicios de sesión de root, dentro de archivos de configuración de Claude Code que habían sido subidos a repositorios públicos de código.

¿Cómo expone Claude Code secretos en los archivos de configuración?

La filtración proviene de la forma en que la herramienta maneja la aprobación de comandos automatizados de shell. Cuando un usuario selecciona “Sí, y no volver a preguntar” para aprobar un comando, Claude Code guarda esa elección como una regla en un archivo local llamado “.claude/settings.local.json”. A veces la regla se guarda como un patrón. Sin embargo, con frecuencia el comando se escribe en el archivo exactamente como fue ingresado, incluyendo cualquier información sensible que contenga.

En la máquina de un solo desarrollador, ese archivo representa poco riesgo, siempre que la máquina en sí se mantenga segura. La documentación de Claude Code de Anthropic indica que el archivo se agrega a la lista global .gitignore del desarrollador, lo que normalmente evita que se comparta. El problema es que esa protección existe a nivel global y no se refleja en cada repositorio. Si un proyecto se clona en otra máquina, o si una carpeta más adelante se convierte en repositorio, el archivo puede subirse por accidente. Apiiro afirma que Claude Code a veces confirma cambios en el archivo de configuración sin que el usuario intervenga.

¿Se pueden eliminar los secretos una vez que un archivo de configuración es público?

Los investigadores de Apiiro encontraron más de 100.000 casos en los que el archivo local de configuración había sido subido a un repositorio público de GitHub. De ellos, cerca de 1.100 provenían de 63 organizaciones diferentes y contenían secretos como tokens de API públicos, contraseñas de bases de datos o claves privadas. Eliminar un archivo de un repositorio no borra los secretos. Pueden persistir en bifurcaciones del proyecto original, y un usuario de GitHub que copió el proyecto antes de la limpieza podría seguir teniéndolos.

El problema no es nuevo. Un reporte de error señaló la situación en agosto de 2025. Otros reportes indicaron que el archivo sensible no siempre se agregaba a la lista .gitignore, o que Claude Code podía escribir los comandos sensibles en otro archivo que git no protegía. Todos esos reportes se cerraron sin tomar medidas tras 60 días de inactividad.

Los desarrolladores ahora están respondiendo públicamente. En un hilo de comentarios en Hacker News durante el fin de semana, Boris Cherny, de Claude Code, dijo que el equipo está “analizando qué podemos hacer para prevenir esto”. También afirmó que los archivos de configuración casi nunca deberían incluirse en el control de código fuente de git de un usuario, y que casos como estos parecen surgir solo cuando “los archivos fueron creados manualmente y añadidos al repositorio”.

Cherny sugirió que los usuarios prueben por ahora el modo automático de Claude Code. El modo automático usa clasificadores para gestionar automáticamente las “solicitudes rutinarias de permisos”, de modo que los usuarios no tengan que mantener manualmente lo que él llamó “listas de permitir y denegar muy delicadas”. Otro usuario señaló luego que los comandos sensibles aún pueden guardarse en archivos de configuración en modo automático. Cherny calificó eso como un “buen hallazgo” y dijo que el equipo está “pensando en cómo podemos mejorar esto”.

¿Detectan los escáneres de secretos los secretos filtrados de Claude Code?

También instó a los usuarios a confiar en los escáneres de secretos, herramientas que buscan información sensible en los archivos y la eliminan. Cherny dijo que el equipo ha considerado incorporar ese tipo de escaneo en Claude Code. Sin embargo, esas herramientas no son infalibles. Apiiro encontró que 215 de los cerca de 1.100 secretos públicos que identificó en los archivos de configuración de Claude Code no fueron detectados por dos escáneres populares, gitleaks y TruffleHog.

Claude Code no es el único agente de IA que ha filtrado información sensible por accidente. Meta suspendió la función de uso compartido de su agente Muse después de que investigadores de seguridad descubrieran que las URL de contenido compartido podían adivinarse fácilmente.

This article was written with the assistance of AI.
News Factory APP - agentic news to boost your SEO & AEO.