Le bouton le plus pratique du code Claude d'Anthropic — « Oui, et ne demandez plus » — s'est discrètement transformé en une machine à fuite d'informations d'identification, selon une nouvelle étude de la société de sécurité des applications Apiiro. Lorsque les développeurs approuvent une commande contenant un secret, Claude Code enregistre cette commande exacte, secret inclus, dans un fichier de paramètres local qui finit souvent par être validé dans les référentiels publics GitHub. L'analyse d'Apiiro a trouvé 2 539 secrets réels répartis dans 1 994 référentiels publics : mots de passe de bases de données, clés API cloud, jetons et connexions racine SSH, répartis dans 63 organisations, pour la plupart des éditeurs de logiciels. Une entreprise concernée a confirmé aux chercheurs qu’une clé exposée était active. Il s'agit du deuxième incident de confidentialité de Claude Code ce mois-ci, après la divulgation des e-mails des utilisateurs à des sites Web via les en-têtes User-Agent - et celui-ci touche l'infrastructure de production, pas seulement les coordonnées. Nous suivons de près la sécurité des agents de codage IA dans notre Couverture des outils IA.

Comment une règle d'autorisation devient une fuite

Ce mécanisme est un effet secondaire du système d'autorisation de Claude Code, qui demande une approbation avant d'exécuter des commandes shell, souvent plusieurs fois par session. Demandez à l'agent de déboguer une connexion à une base de données ou d'appeler une API interne, et la commande qu'il propose contient toutes les informations d'identification requises par cette tâche, car elle ne peut pas fonctionner sans elles.

Choisissez « Oui, et ne demandez plus », et Claude Code exécute la commande et écrit une règle d'autorisation dans « .claude/settings.local.json » dans le dossier du projet. La règle n'est pas une abstraction : il s'agit de la chaîne de commande complète elle-même, du mot de passe saisi en texte brut et tout.

Le fichier est conçu pour rester sur la machine du développeur, et Claude Code essaie de le protéger — en l'ajoutant à la liste globale des ignoreurs git du développeur. Cela couvre le cas courant, mais pas les cas extrêmes : un dossier qui devient un référentiel plus tard, un clone sur une autre machine sur laquelle l'ignorance globale n'existe pas, ou un fichier validé par quelqu'un avant l'ajout de l'entrée ignorée. Surtout, la règle n'atteint jamais le propre « .gitignore » du référentiel, donc aucune protection ne voyage avec le projet.

Pour aggraver le problème, Claude Code valide souvent le fichier lui-même. Dans 539 des 1 105 dépôts où Apiiro a retracé un véritable secret, un commit co-écrit par Claude avait modifié le fichier de paramètres — des commits qui nomment des modèles allant de Sonnet 4.5 à Opus 5.5. Apiiro note que le comportement est propre à Claude Code et non au modèle : la société l'a reproduit avec Opus 5.5 et Fable 5.1.

L'ampleur de l'exposition

Apiiro a dénombré 104 185 copies publiques de « .claude/settings.local.json » sur GitHub. Parmi ceux-ci, 1 122 contiennent au moins un véritable secret. Les chercheurs ont découvert 1 160 secrets supplémentaires cachés dans l'historique git du référentiel, dans les fichiers partagés « settings.json » que les équipes ont délibérément commis et dans les transcriptions de discussion des agents enregistrées et archivées dans les dépôts.

Les exemples de documents Apiiro se lisent comme une liste de contrôle des pires pratiques. Un fournisseur de base de données a exposé sa propre clé API cloud de niveau administrateur (avec accès en gestion et sans expiration) aux côtés de son hôte de cluster. Une startup B2B a divulgué un mot de passe de production Azure Postgres. Une agence de logiciels a exposé un jeton d'accès à la production Square. Une société de services informatiques développant une application de dossiers médicaux a divulgué le mot de passe du propriétaire de cette base de données. Les projets open source ne s’en sortent pas mieux : un avec plus de 1 000 étoiles a publié une clé API au format OpenAI, un autre un jeton npm.

Le contexte sécuritaire aggrave le constat. Les logiciels malveillants voleurs d'informations d'identification balayent déjà en masse les machines des développeurs – Apiiro pointe du doigt le ver Shai-Hulud npm, qui exécutait le scanner TruffleHog sur les fichiers des victimes. Ce même scanner signalerait 643 des 1 122 fichiers divulgués trouvés par Apiiro. Les résidus sont encore plus inquiétants : un fichier divulgué sur cinq n'est signalé ni par TruffleHog ni par gitleaks, généralement parce que le secret est un mot de passe saisi dans une commande plutôt qu'une clé dans un format de jeton reconnaissable. En d’autres termes, les scanners secrets sont structurellement aveugles à cette classe de fuite.

Ce que les équipes concernées devraient faire

Les conseils de remédiation d'Apiiro commencent par déterminer le rayon de l'explosion. Recherchez dans votre organisation GitHub « .claude/settings.local.json » et « .claude/settings.json » — chaque accès est un fichier que tout le monde peut lire dès maintenant. Vérifiez l'historique git de chaque référentiel pour le fichier même s'il a été supprimé, car chaque fork et clone préserve tout ce que contient l'historique. Vérifiez ensuite les copies locales sur chaque machine de développeur : chaque entrée de la liste verte est une commande approuvée par quelqu'un, avec tout ce qui y a été saisi.

L'ordre de l'entreprise est important : faire une rotation d'abord, nettoyer ensuite. La suppression d'un fichier d'un référentiel ne fait rien sur les informations d'identification qui étaient déjà publiques, et l'historique de git maintient indéfiniment les secrets exposés.

Un modèle, pas un cas unique

Pour Anthropic, la découverte arrive une semaine après que Claude Code a été surpris en train de divulguer les adresses e-mail des utilisateurs sur chaque site Web visité via les en-têtes User-Agent – un bug corrigé en envoyant une modification de confidentialité, que les critiques ont qualifiée de pansement. Les deux incidents partagent une cause fondamentale : un agent qui gère un contexte puissant (informations d'identification, coordonnées, noms d'hôte internes) et prend des décisions par défaut sur la destination de ce contexte.

La leçon se généralise au-delà de Claude Code. À mesure que les agents de codage deviennent un équipement standard, les fichiers qu’ils écrivent pour s’organiser eux-mêmes deviennent un nouvel élément non analysé de la chaîne logistique logicielle. Les chiffres d'Apiiro suggèrent que Corner présente déjà des fuites à une échelle que la plupart des organisations n'ont pas encore commencé à mesurer.

Gardez une longueur d'avance sur l'IA

Les outils d’IA sont expédiés plus rapidement que leurs évaluations de sécurité ne peuvent suivre. Suivez chaque développement dans notre Couverture de l'actualité sur l'IA.

Lire plus d'actualités sur l'IA →