Le fichier « Ne plus demander » de Claude Code a laissé des mots de passe dans 1 122 copies GitHub publiques

Un réglage censé vous éviter d’approuver deux fois la même commande a laissé de vrais mots de passe et clés d’API dans des dépôts GitHub publics. La société de sécurité logicielle Apiiro a cherché des copies du fichier de réglages locaux de Claude Code et en a trouvé 1 122, chacune contenant au moins un secret.

Ce que les chercheurs ont trouvé

The Hacker News a rapporté le 7 novembre (en anglais) le texte d’Apiiro. Selon ce compte rendu :

• Claude Code demande avant d’exécuter la plupart des commandes du terminal. Si l’utilisateur choisit « Oui, et ne plus demander », l’outil peut enregistrer une règle d’autorisation dans .claude/settings.local.json à l’intérieur du projet. La documentation des réglages d’Anthropic (en anglais) décrit ce fichier comme une configuration locale propre au projet.
• La règle enregistrée correspond parfois à un motif, comme une commande de test, et conserve parfois une commande exacte. Quand la commande elle-même contenait un mot de passe ou un jeton, ce secret a été enregistré en texte clair.
• Apiiro a trouvé 104 185 copies publiques du fichier dans 103 617 dépôts. Environ 1,1 % d’entre elles, soit 1 122 copies, contenaient au moins un secret, 1 379 secrets distincts au total.
• Une valeur a été comptée comme un secret lorsqu’elle correspondait à un format de clé connu, ou lorsqu’un mot de passe ou un jeton se trouvait à côté de l’adresse d’un serveur public, et qu’un examinateur automatisé était d’accord. Les chercheurs n’ont pas dit si quelqu’un avait utilisé ces secrets. Ils n’ont pas testé s’ils fonctionnaient encore, sauf qu’une entreprise informée a confirmé que sa clé était encore active.
• Plus du tiers des secrets ouvraient directement une base de données, dont 379 mots de passe de bases. On compte aussi 43 connexions SSH vers des serveurs publics, 42 jetons pour GitHub, GitLab et npm, et 23 clés AWS. Parmi les propriétaires figuraient 63 organisations. Les cas les plus graves décrits comprennent la clé infonuagique de niveau administrateur d’un fournisseur de bases de données et le mot de passe propriétaire d’une base de dossiers médicaux.
• Au lundi précédant le rapport, chaque fichier contenant un secret se trouvait encore sur la branche par défaut de son dépôt, et dans la moitié de ces dépôts, il y était depuis au moins 217 jours.
• Supprimer le fichier du projet ne termine pas le travail. D’anciennes versions dans l’historique git contenaient 734 secrets de plus dans 509 dépôts. Les forks ont diffusé les fichiers plus loin : 211 forks de 74 dépôts portaient les mêmes secrets que les originaux.
• Des secrets se trouvaient aussi dans 298 des 76 011 copies publiques du fichier partagé .claude/settings.json, que les équipes enregistrent volontairement. En comptant ceux-là, les versions plus anciennes et les journaux de discussion des agents enregistrés, le total d’Apiiro était de 2 539 secrets dans 1 994 dépôts.

Claude Code tente bien de garder le fichier local hors de git, ont dit les chercheurs : la première fois qu’il l’écrit dans un dépôt, il l’ajoute aux exclusions git globales de cet utilisateur. Cette protection reste sur un ordinateur. Elle n’ajoute pas le fichier au .gitignore du projet, elle ne voyage donc pas avec le projet, et elle ne fait rien pour un fichier déjà enregistré. Dans 539 des 1 105 dépôts qu’Apiiro a retracés, une validation mentionnant Claude comme coauteur a modifié le fichier.

Sur 16 agents de programmation dont la documentation a été comparée, Claude Code était le seul dont les chercheurs ont confirmé qu’il enregistre par défaut la commande approuvée au complet dans un fichier du projet. Des utilisateurs avaient déjà signalé le comportement. Un rapport antérieur déposé le 11 août 2025 disait que des commandes approuvées contenant des clés d’API étaient enregistrées mot pour mot. The Hacker News a dit que ce rapport, et d’autres liés plus tard, ont été fermés par un robot automatisé sans réponse d’Anthropic.

Ce que ça signifie pour vous

Il ne s’agit pas d’une intrusion chez Anthropic, ni d’une liste de tous les utilisateurs de Claude Code. C’est une constatation au sujet d’un fichier qui peut recueillir en silence des secrets que vous avez tapés dans des commandes, puis suivre le projet jusque sur GitHub si quelqu’un l’enregistre. Les copies qui n’atteignent jamais GitHub comptent aussi : le fichier est du texte ordinaire dans le dossier du projet, et il peut voyager dans un paquet, une image de conteneur, une archive ou un dossier synchronisé.

Les scanneurs de secrets courants ont manqué beaucoup de ces fichiers, a dit Apiiro, parce qu’un mot de passe placé dans une commande ordinaire ne ressemble pas toujours à une clé infonuagique.

Ce que vous pouvez faire

1. Cherchez dans votre organisation GitHub et dans l’historique de chaque dépôt .claude/settings.local.json et .claude/settings.json, y compris aux endroits où les fichiers ont depuis été supprimés.
2. Faites tourner chaque mot de passe, jeton et clé que ces fichiers ont jamais contenus, avant de nettoyer. Retirer le fichier ne révoque pas une clé déjà copiée.
3. Cessez de suivre le fichier local (git rm --cached .claude/settings.local.json) et ajoutez-le au .gitignore du dépôt. Ouvrez la copie sur votre ordinateur et supprimez toute règle qui contient un secret.
4. Gardez les secrets hors des commandes que vous approuvez. Référez-vous à eux comme à des variables d’un gestionnaire de secrets, pour qu’une règle enregistrée conserve le nom de la variable. Préférez approuver un motif plutôt qu’une commande exacte.
5. Si vous êtes responsable de la sécurité d’une équipe, traitez les dossiers d’agents comme .claude/ comme vous traitez déjà les fichiers .env, y compris dans les vérifications avant validation et dans l’historique git.

Comment Frame peut aider

Il s’agit ici d’une constatation au sujet de secrets enregistrés dans git, pas d’une liste publiée de courriels de clients. Les vérifications ci-dessus sont la partie utile. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• Un nouveau voleur d’informations s’attaque aux connexions des outils d’IA : des maliciels examinent déjà les dossiers locaux des outils d’IA à la recherche d’identifiants, ce qui est une raison pour laquelle ces fichiers comptent même s’ils n’atteignent jamais GitHub.
• WorkOS dit qu’une attaque assistée par IA a atteint son outil de vente, dont des extraits Slack de clients : un incident distinct, qui implique aussi un agent de programmation par IA, et qui montre à quelle vitesse un outil automatisé peut recueillir ce qu’il a le droit d’atteindre.

Sources

• The Hacker News, Claude Code’s “Don’t Ask Again” File Left Secrets in 1,122 Public GitHub Copies (en anglais), 7 novembre 2026
• Anthropic, Claude Code settings (en anglais)