Die bequemste Schaltfläche im Claude-Code von Anthropic – „Ja, und nicht noch einmal fragen“ – hat sich laut einer neuen Studie des Anwendungssicherheitsunternehmens Apiiro still und leise in eine Maschine zur Weitergabe von Anmeldeinformationen verwandelt. Wenn Entwickler einen Befehl genehmigen, der ein Geheimnis enthält, speichert Claude Code genau diesen Befehl, einschließlich des Geheimnisses, in einer lokalen Einstellungsdatei, die häufig in öffentlichen GitHub-Repositorys gespeichert wird. Der Scan von Apiiro ergab 2.539 echte Geheimnisse in 1.994 öffentlichen Repositories: Datenbankkennwörter, Cloud-API-Schlüssel, Token und SSH-Root-Logins, verteilt auf 63 Organisationen, die meisten davon Softwareunternehmen. Ein betroffenes Unternehmen bestätigte den Forschern, dass ein offengelegter Schlüssel aktiv gewesen sei. Es ist der zweite Datenschutzvorfall von Claude Code in diesem Monat nach der Offenlegung von Benutzer-E-Mails an Websites über User-Agent-Header – und dieser betrifft die Produktionsinfrastruktur, nicht nur Kontaktdaten. In unserer [Berichterstattung über KI-Tools] (https://aibuzzwire.news) verfolgen wir die Sicherheit von KI-Coding-Agents genau.

Wie eine Berechtigungsregel zu einem Leck wird

Der Mechanismus ist ein Nebeneffekt des Berechtigungssystems von Claude Code, das vor der Ausführung von Shell-Befehlen um Genehmigung bittet – oft mehrmals pro Sitzung. Bitten Sie den Agenten, eine Datenbankverbindung zu debuggen oder eine interne API aufzurufen, und der von ihm vorgeschlagene Befehl enthält alle Anmeldeinformationen, die für die Aufgabe erforderlich sind, da sie ohne diese nicht funktionieren kann.

Wählen Sie „Ja, und nicht noch einmal fragen“, und Claude Code führt den Befehl aus und schreibt eine Berechtigungsregel in „.claude/settings.local.json“ im Projektordner. Die Regel ist keine Abstraktion: Sie besteht aus der vollständigen Befehlszeichenfolge selbst, dem im Klartext eingegebenen Passwort und allem.

Die Datei ist so konzipiert, dass sie auf dem Rechner des Entwicklers bleibt, und Claude Code versucht, sie zu schützen – indem er sie zur globalen Git-Ignorierliste des Entwicklers hinzufügt. Dies deckt den allgemeinen Fall ab, jedoch nicht die Randfälle: ein Ordner, der später zu einem Repository wird, ein Klon auf einem anderen Computer, auf dem das globale Ignorieren nicht existiert, oder eine Datei, die jemand festgeschrieben hat, bevor der Ignore-Eintrag hinzugefügt wurde. Entscheidend ist, dass die Regel niemals im eigenen „.gitignore“ des Repositorys landet, sodass kein Schutz mit dem Projekt übertragen wird.

Erschwerend kommt hinzu, dass Claude Code häufig die Datei selbst festschreibt. In 539 der 1.105 Repositories, in denen Apiiro ein echtes Geheimnis aufspürte, hatte ein von Claude mitverfasster Commit die Einstellungsdatei geändert – Commits mit Namensmodellen von Sonnet 4.5 bis Opus 5.5. Apiiro weist darauf hin, dass es sich bei dem Verhalten um das von Claude Code und nicht um das Modell handelt: Die Firma hat es sowohl mit Opus 5.5 als auch mit Fable 5.1 reproduziert.

Der Umfang der Belichtung

Apiiro zählte 104.185 öffentliche Kopien von „.claude/settings.local.json“ auf GitHub. Davon enthalten 1.122 mindestens ein echtes Geheimnis. Die Forscher fanden 1.160 weitere Geheimnisse, die sich im Git-Verlauf des Repositorys, in den von Teams absichtlich freigegebenen „settings.json“-Dateien und in gespeicherten Agenten-Chat-Transkripten versteckten, die in Repos eingecheckt wurden.

Die Beispiele der Apiiro-Dokumente lesen sich wie eine Checkliste für die schlechtesten Praktiken. Ein Datenbankanbieter hat neben seinem Cluster-Host seinen eigenen Cloud-API-Schlüssel auf Administratorebene offengelegt – mit Verwaltungszugriff und ohne Ablaufdatum. Ein B2B-Startup hat ein Produktionspasswort für Azure Postgres durchsickern lassen. Eine Softwareagentur hat ein Square-Produktionszugriffstoken offengelegt. Ein IT-Dienstleistungsunternehmen, das eine Anwendung für Krankenakten entwickelt, hat das Besitzerpasswort dieser Datenbank durchsickern lassen. Open-Source-Projekten erging es nicht besser: Eines mit mehr als 1.000 Sternen veröffentlichte einen API-Schlüssel im OpenAI-Format, ein anderes ein NPM-Token.

Der Sicherheitskontext macht den Befund noch schlimmer. Schadsoftware, die Zugangsdaten stiehlt, befällt bereits massenhaft Entwicklerrechner – Apiiro weist auf den Wurm Shai-Hulud npm hin, der den TruffleHog-Scanner auf die Dateien der Opfer ausführte. Derselbe Scanner würde 643 der 1.122 geleakten Dateien markieren, die Apiiro gefunden hat. Noch besorgniserregender ist der Rückstand: Eine von fünf geleakten Dateien wird weder von TruffleHog noch von Gitleaks markiert, meist weil es sich bei dem Geheimnis um ein in einen Befehl eingegebenes Passwort und nicht um einen Schlüssel in einem erkennbaren Token-Format handelt. Mit anderen Worten: Geheimscanner sind für diese Leckklasse strukturell blind.

Was betroffene Teams tun sollten

Die Sanierungsanleitung von Apiiro beginnt mit der Festlegung des Explosionsradius. Durchsuchen Sie Ihre GitHub-Organisation nach „.claude/settings.local.json“ und „.claude/settings.json“ – jeder Treffer ist eine Datei, die jeder jetzt lesen kann. Überprüfen Sie den Git-Verlauf jedes Repositorys auf die Datei, auch wenn sie gelöscht wurde, da jeder Fork und Klon den enthaltenen Verlauf beibehält. Überprüfen Sie dann die lokalen Kopien auf jedem Entwicklercomputer: Jeder Eintrag in der Zulassungsliste ist ein von jemandem genehmigter Befehl mit allem, was darin eingegeben wurde.

Die Reihenfolge der Firma ist wichtig: zuerst rotieren, dann aufräumen. Das Löschen einer Datei aus einem Repository hat keine Auswirkung auf Anmeldeinformationen, die bereits öffentlich waren, und der Git-Verlauf hält offengelegte Geheimnisse auf unbestimmte Zeit am Leben.

Ein Muster, kein Einzelstück

Für Anthropic erfolgt die Entdeckung eine Woche, nachdem Claude Code dabei erwischt wurde, wie er Benutzer-E-Mail-Adressen über User-Agent-Header an jede von ihm besuchte Website weitergab – ein Fehler, der durch die Auslieferung einer Datenschutzänderung behoben wurde, die von Kritikern als Pflaster bezeichnet wurde. Die beiden Vorfälle haben eine gemeinsame Grundursache: einen Agenten, der wichtige Kontexte verarbeitet – Anmeldeinformationen, Kontaktdaten, interne Hostnamen – und Standardentscheidungen darüber trifft, wohin dieser Kontext wandert.

Die Lektion verallgemeinert über Claude Code hinaus. Während Programmieragenten zur Standardausrüstung werden, werden die Dateien, die sie schreiben, um sich selbst zu organisieren, zu einem neuen, ungescannten Bereich der Software-Lieferkette. Die Zahlen von Apiiro deuten darauf hin, dass in Corner bereits Lecks in einem Ausmaß auftreten, mit dem die meisten Unternehmen noch nicht begonnen haben, es zu messen.

Bleiben Sie der KI immer einen Schritt voraus

KI-Tools werden schneller ausgeliefert, als ihre Sicherheitsüberprüfungen mithalten können. Verfolgen Sie jede Entwicklung in unserer KI-Berichterstattung.

Weitere KI-Neuigkeiten lesen →