Claude Code expõe milhares de credenciais em repositórios públicos do GitHub, aponta Apiiro

Pesquisadores de segurança da Apiiro identificaram 2.539 credenciais reais em 1.994 repositórios públicos do GitHub, ligadas ao uso do Claude Code, ferramenta de IA da Anthropic para desenvolvimento de software. O impacto atinge 63 organizações, entre projetos acadêmicos, startups, agências de software e fornecedores de tecnologia. Em 539 repositórios, havia ainda commits coautorados pelo próprio Claude Code com arquivos que continham dados confidenciais.

O problema está no sistema de permissões para executar comandos de terminal. Em tarefas como migração de bancos de dados e diagnósticos, o assistente pode sugerir comandos que trazem senhas ou outras informações sensíveis. Se o desenvolvedor escolhe a opção "Yes, and don't ask again" (Sim, e não pergunte novamente), o comando autorizado é gravado em texto puro no arquivo .claude/settings.local.json, dentro da pasta do projeto.

A ferramenta tenta evitar que esse arquivo vá para o GitHub adicionando-o ao .gitignore global do desenvolvedor. Só que a proteção não vale para o .gitignore do próprio projeto. Assim, o arquivo pode entrar no repositório quando a pasta é compartilhada, clonada ou configurada manualmente para usar o Git.

A Apiiro encontrou 104.185 cópias públicas desse arquivo, e 1.122 delas continham credenciais reais, somando 1.379 segredos distintos. O total de 2.539 vem de um levantamento mais amplo, que também achou dados sensíveis no histórico do Git, em arquivos settings.json compartilhados e em transcrições de conversas de outros agentes de IA.

Entre os itens expostos estão 398 tokens de API de serviços, 379 senhas de bancos de dados, 149 chaves de API de modelos de IA, 122 chaves de função de serviço do Supabase, 110 chaves de API do Google, 103 tokens de contas do Supabase, 43 logins de servidores SSH, 42 tokens do GitHub, GitLab e npm, 23 chaves de nuvem da AWS, 9 senhas de aplicativos e contas e 6 chaves privadas. Do total, 501 credenciais davam acesso a bancos de dados de produção, incluindo sistemas de prontuários médicos, bancos em nuvem e plataformas de pagamento.

Usuários relatam o comportamento em chamados de suporte e issues no repositório do Claude Code desde agosto de 2025. Esses relatos foram fechados automaticamente após 60 dias de inatividade, sem que houvesse correção. Depois da divulgação do levantamento, o chefe do Claude Code na Anthropic se manifestou no Hacker News e disse que a equipe estuda formas de evitar novos vazamentos, como melhorar o modo automático e incluir um scanner básico de segredos na ferramenta.