克劳德代码设置文件泄露上千密钥

一、核心突破与产品

11月9日，美国科技媒体 Ars Technica 报道，安全公司 Apiiro 发现，公开代码托管平台 GitHub 上有 104185 份人工智能企业Anthropic 的编程助手 Claude Code 的本地设置文件 .claude/settings.local.json，其中 1122份文件含有至少一个真实密钥，密钥总数达 1379 个，涉及 63 家机构。泄露的密钥包括 379 个数据库密码、43 个 SSH 登录凭证、42 个GitHub、GitLab 与 npm 令牌、23 个 AWS 密钥，以及 122 个 Supabase 服务密钥。Apiiro的研究发表于11月5日、11月8日更新，Ars Technica于11月9日跟进报道，北京时间为11月10日。这63家机构以软件公司为主，泄露的密钥一旦被他人利用，可能直接触及相关机构的生产数据库与云服务。

二、底层架构与关键参数

泄露的源头是 Claude Code 的一项便利操作。用户在批准助手运行命令时如果点选“是，不再询问”，这条放行规则会被原样写入项目文件夹内的.claude/settings.local.json 文件，命令中夹带的密码或令牌也会以明文一并保存。按照 Anthropic的说明，该文件只会被加入开发者电脑上的全局 Git 忽略列表，不会写入仓库自身的 .gitignore文件，因此一旦文件夹被克隆、转换或提交，设置文件就可能随仓库一起公开。Apiiro 在11月1日至3日扫描公开仓库后还发现，把 Git提交历史、共享设置和助手对话记录算在内，泄露的密钥总数达到2539个，涉及1994个仓库；其中约215个密钥未被 gitleaks 与 TruffleHog这两款常用扫描工具标记。安全公司 GitGuardian用另一套方法另行统计，发现31000多个不同密钥，涉及23000多个仓库，其中5000多个在发现时仍有效。需要说明的是，Apiiro没有实际测试这些密钥是否有效，只有一家接到通知的企业确认自家密钥当时有效。早在2025年8月，就有用户报告过这一问题。Anthropic方面表示，建议开发者使用密钥扫描工具，同时正在考虑在产品内加入扫描功能。

三、产业生态与行业影响

这次事件的影响很难通过删除文件消除，因为 Git的提交历史和仓库复刻都会保留密钥副本，受影响的机构必须轮换全部可能泄露的密钥，并检查相关系统的访问记录。事件也暴露出人工智能编程助手带来的新安全边界：助手为了减少重复确认而保存的操作记录，可能在不经意间把敏感信息带进代码仓库，而全局忽略列表这类单点防护一旦失效，就没有第二道关口兜底。ClaudeCode 团队负责人鲍里斯·切尔尼（BorisCherny）公开表示，团队正在研究防范办法，但截至报道时还没有推出修复方案。对使用人工智能编程工具的团队来说，这次泄露是一个提醒：图省事的默认设置同样需要安全审查，密钥扫描应当成为提交代码前的固定步骤，而不是事后补救。

信源跟踪： A | 数据时间： 北京时间 2026-11-10