11月9日、Ars Technicaはセキュリティ企業Apiiroの調査を報じた。AIコーディングエージェントのClaude Codeが、開発者のパスワードやAPIキーをプロジェクトの設定ファイルに平文で書き込んでおり、その一部が公開GitHubリポジトリに投稿されていた。研究者は11月1日から3日にGitHubを走査し、10万件を超える公開設定ファイルの中から本物の秘密を含むファイル1,122件を発見。リポジトリの履歴やチャット記録を含めると、合計は1,994リポジトリ中の2,539件の本物の認証情報にのぼる。
Claude Codeはシェルコマンドの実行前に許可を求め、ユーザーが「はい、次回から確認しない」を選ぶと、承認ルールがコマンドそのものと一緒にプロジェクトの.claude/settings.local.jsonに書き込まれる。コマンドにパスワードやトークン、キーが含まれていれば、秘密は平文のままプロジェクトフォルダに残る。Claude Codeはこのファイルを初めて書き込む際に開発者のグローバルなgit除外リストへ追加するが、この保護は常に機能するわけではない。プロジェクトが別のコンピュータにクローンされたり、普通のフォルダが後からリポジトリ化されたりすると、ファイルが誤ってコミットされることがある。調査によれば、Claude Codeは確認なしに設定ファイルの変更をコミットすることもあり、いったん誰かがリポジトリをフォークすれば、元のリポジトリがファイルを削除しても秘密は残り続ける。
秘密を含む1,122件のファイルには合計1,379件の異なる秘密が含まれており、内訳はデータベースのパスワード379件、SSHログイン情報43件、GitHub・GitLab・npmのトークン42件、AWSキー23件。最も深刻なのはデータベースベンダーの管理者レベルのクラウドキーだ。影響を受けた組織は63にのぼり、Apiiroは11月2日から3日に特定できた組織へ通知し、そのうち1社は指摘されたキーが当時も有効だったことを確認した。ただし調査には限界もある。Apiiroは認証情報を使用してみておらず、2,539件という合計は一件ずつの人手による検証ではなく、LLMレビュアーの判断にも依拠している。
このリスクが表面化したのは今回が初めてではない。早い時期では2025年8月に、Claude Codeの公開課題トラッカーに同様の報告が寄せられたが、60日間動きがなかったため自動的にクローズされた。Claude Codeの責任者Boris Chernyは11月7日、チームが予防策を検討中で、秘密のスキャン機能の内蔵を考えていると回答したが、11月8日時点でAnthropicは修正や具体的な時期を発表していない。一般的なスキャンツールも万全ではない。秘密を含むファイル215件がgitleaksとTruffleHogの両方をすり抜けた。Claude Codeを使っている開発者は、リポジトリとgit履歴の中の.claude/settings.local.jsonや.claude/settings.json、保存されたエージェントのチャット記録をすぐに確認し、漏えいを見つけたらキーをローテーションすべきだ。より確実な習慣は、パスワードを含むコマンドを「次回から確認しない」に決して渡さないことだ。
