Am 9. November berichtete Ars Technica über eine Untersuchung der Sicherheitsfirma Apiiro: Der KI-Programmierassistent Claude Code schreibt Passwörter und API-Schlüssel von Entwicklern im Klartext in Projekt-Einstellungsdateien, von denen einige anschließend in öffentlichen GitHub-Repositories gelandet sind. Beim Scan von GitHub vom 1. bis 3. November fanden die Forscher unter mehr als 100.000 öffentlichen Einstellungsdateien 1.122 Dateien mit echten Geheimnissen; zählt man Repository-Verlauf und Chat-Protokolle hinzu, sind es insgesamt 2.539 echte Zugangsdaten in 1.994 Repositories.
Claude Code fragt vor der Ausführung eines Shell-Befehls um Erlaubnis, und wählt der Nutzer „Ja, nicht mehr fragen", wird die Genehmigungsregel zusammen mit dem Befehl selbst in die Datei .claude/settings.local.json des Projekts geschrieben, sodass jedes Passwort, Token oder jeder Schlüssel im Befehl als Klartext im Projektordner landet. Claude Code trägt die Datei beim ersten Schreiben in die globale Git-Ausschlussliste des Entwicklers ein, doch dieser Schutz greift nicht immer: Wird ein Projekt auf einen anderen Rechner geklont oder ein gewöhnlicher Ordner später zu einem Repository, kann die Datei versehentlich committet werden; der Untersuchung zufolge committet Claude Code Änderungen an Einstellungsdateien manchmal auch ohne Bestätigung, und sobald jemand ein Repository geforkt hat, überlebt das Geheimnis selbst dann, wenn das ursprüngliche Repository die Datei löscht.
Die 1.122 Dateien mit Geheimnissen enthalten insgesamt 1.379 verschiedene Geheimnisse, darunter 379 Datenbankpasswörter, 43 SSH-Logins, 42 GitHub-, GitLab- und npm-Tokens sowie 23 AWS-Schlüssel; der schwerste Fall ist ein Cloud-Schlüssel mit Adminrechten eines Datenbankanbieters. Betroffen sind 63 Organisationen, und Apiiro benachrichtigte die identifizierbaren Betroffenen am 2. und 3. November, wovon eine bestätigte, dass der markierte Schlüssel damals noch gültig war. Die Untersuchung hat jedoch Grenzen: Apiiro hat die Zugangsdaten nicht ausprobiert, und die Gesamtzahl von 2.539 stützt sich zum Teil auf das Urteil eines LLM-Prüfers statt auf eine manuelle Prüfung jedes einzelnen Falls.
Das Risiko ist nicht zum ersten Mal aufgetaucht: Bereits im August 2025 meldete jemand einen ähnlichen Fall im öffentlichen Issue-Tracker von Claude Code, der später nach 60 Tagen ohne Aktivität automatisch geschlossen wurde. Claude-Code-Leiter Boris Cherny antwortete am 7. November, das Team prüfe vorbeugende Maßnahmen und erwäge eine eingebaute Geheimnisprüfung, doch bis zum 8. November hatte Anthropic weder eine Korrektur noch einen Zeitplan angekündigt. Auch gängige Scanner sind kein verlässliches Netz: 215 Dateien mit Geheimnissen entgingen sowohl gitleaks als auch TruffleHog. Entwickler, die Claude Code nutzen, sollten ihre Repositories und den Git-Verlauf auf .claude/settings.local.json, .claude/settings.json und gespeicherte Agenten-Chats prüfen und geleakte Schlüssel sofort rotieren; die sicherste Gewohnheit ist, Befehle mit Passwörtern niemals an „nicht mehr fragen" zu übergeben.
