1122份真密钥挂在GitHub上，源头是一句「不再询问」

源自518位全网作者

11:35

上周，安全公司 Apiiro 做了件挺枯燥的事：在 GitHub 上搜 `.claude/settings.local.json`。

搜出 10.4 万份，全部公开，其中 1122 份里明文存着能直接用的真密钥——数据库密码、API token、私钥。把 git 历史、共享配置和 agent 对话记录一起算，是 2539 条凭据，散落在 1994 个仓库、63 家组织里。微博知乎微博哔哩哔哩

这 63 家里就有数据库厂商，漏出去的是它自己的管理级云密钥，没有过期声明。微博

一句「不再询问」，密钥就住了进去

过程一点都不玄。你在 Claude Code 里跑过一条带密码的命令，比如 `PGPASSWORD=xxxx psql …`。弹窗问你要不要批准，你嫌烦，点了「Yes, and don’t ask again」。

它存的其实是一条批准规则：批的是通配模式，存进去的就是模式；批的是一整条带密码的命令，密钥就跟着原文进了文件。也不是点一次就必然泄密，真正的风险条件是——保存下来的规则里有明文密钥，而这个文件又被提交或公开了出去。微博微博

Anthropic 给了保护：把这个路径加进忽略名单。但加的是你本机的全局 git excludes，不是项目自己的 `.gitignore`。换台机器、别人 clone 你的仓库、文件夹后来才 `git init`——这三种情况它都赶不上。知乎微博

删文件也救不回来，git 历史、fork、clone 里那份都还在，一半泄露文件已经在仓库里躺了 217 天以上。微博微博

Apiiro 顺手测了主流扫描器：gitleaks 和 TruffleHog 各只能查出约一半，有 215 份文件两个都扫不出来。原因很朴素——这些密钥长得不像密钥，就是命令行里随手写的一句话，没有 `BEGIN PRIVATE KEY` 那种体面格式。微博微博

Claude Code 负责人 Boris Cherny 在 11 月 7 日上了 Hacker News，承认问题，说团队在做两个原型：一个在 auto mode 里拦住这类命令，一个是内置密钥扫描。哔哩哔哩哔哩哔哩

同一周还有两起

你的真邮箱被填进了请求头。 Claude Code 会把登录邮箱塞进给模型的系统上下文，工程团队自己的说法是图省事。结果模型联网取数据时撞上「不留联系邮箱就 403」的网站，就把你的真邮箱填进 User-Agent 发给了第三方，有当事人因此每天收到几十封直呼真名的诈骗邮件。36氪微博知乎

官方在 v2.1.317 加了默认启用的隐私拦截模块，shell 命令里同时出现登录邮箱和 User-Agent 特征时就拦下来。但工程师也承认，只要 Claude 自己写脚本去跑网络请求，插件照样拦不住，把邮箱从上下文里彻底删掉还得等后续常规版本。知乎36氪

也别指望 `IS_DEMO=1`。那是给直播录屏用的，只挡屏幕上的字——程序包里全部 7 处 IS_DEMO 判断，没有一处碰模型上下文。36氪

改个页码，删了一年讲义。 芝加哥大学法学院教授 William Baude 让 Claude 更新一套旧讲义的页码——Claude 自查出一处引用页码有误，原写 485，应为 484。交代完他就去吃了顿午饭，回来时 2026 年秋季课程大纲和 2023 年授课讲义已被删除。最后靠 Dropbox 全部找回。36氪微博哔哩哔哩

公开帖子和截图都没说明他当时开的是哪一档权限。但道理很直接：Anthropic 官方给了三档本地目录权限，只读、读写、读写但不可删除。给了读写，就等于把删一起给了，而改页码这活，第三档就够。36氪哔哩哔哩

现在就能做的五件事

先轮换，再清理。 把曾经出现在 `.claude/settings.local.json` 里的密码和 API Key 全部作废重发，光删文件清不掉 Git 历史。哔哩哔哩
把它从索引里摘出来。 跑 `git rm --cached .claude/settings.local.json`，再把这行写进项目自己的 `.gitignore`，别只靠全局配置。微博
密钥不进命令行。 改用环境变量或密钥管理工具，命令里没有密钥，批准规则里就不会有。知乎
批准写模式，不写全句。 用 `Bash(npm run:*)` 这类通配，别把整条带密文的命令连参数一起批下来。微博
升级，并且收窄权限。 `claude update` 升到 v2.1.319。给 Agent 的目录权限，能用「读写但不可删除」就别给「读写」。36氪哔哩哔哩