11월 9일 Ars Technica는 보안 기업 Apiiro의 연구를 보도했다. AI 코딩 에이전트 Claude Code가 개발자의 비밀번호와 API 키를 프로젝트 설정 파일에 평문으로 기록하고, 그중 일부가 공개 GitHub 저장소에 게시됐다. 연구진은 11월 1일부터 3일까지 GitHub을 스캔해 10만 개가 넘는 공개 설정 파일 중 실제 비밀을 포함한 파일 1,122건을 찾아냈고, 저장소 기록과 채팅 기록까지 합하면 총 1,994개 저장소에서 2,539건의 실제 자격증명이 확인됐다.
Claude Code는 셸 명령을 실행하기 전에 허가를 요청하는데, 사용자가 '예, 다시 묻지 않음'을 선택하면 승인 규칙이 명령어 원문과 함께 프로젝트의 .claude/settings.local.json에 기록된다. 명령어에 데이터베이스 비밀번호나 토큰, 키가 포함돼 있으면 비밀은 평문 그대로 프로젝트 폴더에 남는다. Claude Code는 이 파일을 처음 쓸 때 개발자의 전역 git 제외 목록에 추가하지만, 이 보호가 항상 통하는 것은 아니다. 프로젝트가 다른 컴퓨터에 복제되거나 일반 폴더가 나중에 저장소로 초기화된 경우 파일이 실수로 커밋될 수 있고, 연구에 따르면 Claude Code는 확인 없이 설정 파일 변경을 커밋하기도 하며, 누군가 저장소를 포크한 뒤에는 원본 저장소에서 파일을 삭제해도 비밀은 남는다.
비밀을 포함한 1,122개 파일에는 총 1,379건의 서로 다른 비밀이 들어 있으며, 데이터베이스 비밀번호 379건, SSH 로그인 정보 43건, GitHub·GitLab·npm 토큰 42건, AWS 키 23건이 포함된다. 가장 심각한 사례는 데이터베이스 업체의 관리자급 클라우드 키다. 영향을 받은 조직은 63곳이며, Apiiro는 11월 2일부터 3일까지 확인할 수 있었던 곳에 통지했고, 그중 한 곳은 지적된 키가 당시에도 유효했음을 확인했다. 다만 연구에는 한계도 있다. Apiiro는 자격증명을 직접 사용해 보지 않았고, 2,539건이라는 총계는 건별 수동 검증이 아니라 LLM 검토자의 판단에도 의존한다.
이번이 위험이 처음 드러난 것은 아니다. 이르면 2025년 8월에 Claude Code의 공개 이슈 트래커에 유사한 보고가 접수됐으나, 60일간 활동이 없어 자동으로 닫혔다. Claude Code 책임자 Boris Cherny는 11월 7일 팀이 예방 조치를 검토 중이며 비밀 스캔 기능 내장을 고려하고 있다고 답했지만, 11월 8일 기준으로 Anthropic은 수정이나 구체적인 일정을 발표하지 않았다. 일반적인 스캔 도구도 완전한 안전망은 아니다. 비밀을 포함한 파일 215건이 gitleaks와 TruffleHog를 모두 피해 갔다. Claude Code를 쓰는 개발자는 저장소와 git 기록에서 .claude/settings.local.json과 .claude/settings.json, 저장된 에이전트 채팅 기록을 즉시 확인하고, 유출을 발견하면 키를 순환해야 한다. 더 확실한 습관은 비밀번호가 든 명령어를 '다시 묻지 않음'에 절대 넘기지 않는 것이다.
