11月9日，Ars Technica 报道了安全公司 Apiiro 的一项研究：AI 编程智能体 Claude Code 会把开发者的密码与 API 密钥以明文写进项目设置文件，其中一部分随后被公开到 GitHub 仓库。研究人员 11 月 1 日至 3 日扫描 GitHub，从 10 万多份公开设置文件里找出 1,122 份含有真实密钥的文件；算上仓库历史与聊天记录，总数达到 1,994 个仓库里的 2,539 个真实凭据。
Claude Code 执行 Shell 命令前会征求许可，如果用户选了“是，且不再询问”，批准规则会连同命令原文一起写进项目里的 .claude/settings.local.json，命令里若带有密码、令牌或密钥，秘密就以明文躺进了项目文件夹。Claude Code 首次写入该文件时会把它加进全局 git 排除列表，但保护并不总能生效：项目被克隆到另一台电脑、或普通文件夹后来才初始化为仓库时，文件就可能被误传；研究称，Claude Code 有时会在未经确认的情况下自行提交设置文件变更，而一旦有人 fork 过仓库，密钥即使在原仓库删除后仍会留存。
1,122 份含密钥的文件共藏 1,379 个不重复的秘密，包括 379 个数据库密码、43 个 SSH 登录信息、42 个 GitHub、GitLab 与 npm 令牌和 23 个 AWS 密钥；最严重的一起是一家数据库供应商的管理级云密钥。63 个组织受影响，Apiiro 在 11 月 2 日至 3 日通知了能找到的受影响方，其中一家确认密钥当时仍有效。不过研究也有局限：Apiiro 没有尝试使用这些凭据，2,539 这个总数还参考了一位 LLM 审核者的判断，而非人工逐一核查。
这并非风险第一次被发现：早在 2025 年 8 月，就有人向 Claude Code 的公开问题追踪器提交过类似报告，后来因 60 天无活动被自动关闭。Claude Code 负责人 Boris Cherny 在 11 月 7 日回应称团队正在研究预防措施，考虑内置密钥扫描，但截至 11 月 8 日，Anthropic 没有公布修复或具体时间表。常用扫描工具也未必兜底：215 份含密钥的文件同时躲过了 gitleaks 与 TruffleHog。正在用 Claude Code 的开发者应检查仓库与 git 历史里的 .claude/settings.local.json、.claude/settings.json 与智能体聊天记录，发现泄露就轮换密钥；更稳妥的做法是，永远别把带密码的命令交给“不再询问”。
