AnthropicのClaude Codeは、開発者がプロジェクト内でAI生成のシェルコマンドを実行できるツールだ。ユーザーが「はい、今後は確認しない」をクリックすると、その承認内容は.claude/settings.local.jsonというローカルファイルに保存される。このファイルには実行を許可したコマンドがそのまま記録されており、データベースのパスワードやAPIトークンなどの認証情報が含まれる場合がある。Anthropicのドキュメントによると、このファイルはグローバルの.gitignoreに追加されるため、開発者のマシン内にとどまるはずだ。
Apiiroの研究者は、.gitignoreの設定がリポジトリ自体には適用されないことを発見した。設定ファイルを含むフォルダーを後からGitリポジトリにした場合や、Claude Code自体がファイルをコミットした場合、機密情報がGitHubにプッシュされる可能性がある。Apiiroが公開GitHubリポジトリを調査したところ、このファイルが10万件以上見つかり、そのうち約1,100件には実際の秘密情報が含まれていた。秘密情報は63の組織に由来し、公開APIトークン、データベースのパスワード、秘密鍵などが含まれていた。
ファイルが公開されてしまうと、メインのリポジトリから削除しても、フォークやキャッシュされたコピーからは消えない。そのため、リポジトリをクローンしたり、履歴を閲覧したりすれば、漏えいした認証情報を引き続き確認できる。研究者らは、漏えいしたキーがまだ有効な場合、攻撃者がデータベースやクラウドサービス、社内システムにアクセスするおそれがあると警告した。
漏えいが重大な理由
今回の発見は、コードをコミットする前に、どのファイルが追跡対象になっているかを開発者が改めて確認する必要性を示している。グローバルの.gitignoreだけに頼るのでは不十分で、各リポジトリの.gitignoreで.claude/settings.local.jsonを除外すべきだ。組織は、露出した可能性のある認証情報を更新するとともに、同様のファイルがないかリポジトリをスキャンする必要がある。
なぜ重要か
Claude Codeを使う開発者が意図せず認証情報を公開し、サービスへの不正アクセスにつながるおそれがある。組織はリポジトリを監査し、設定ファイルを機密情報として扱う必要がある。各プロジェクトの.gitignoreに追加し、漏えいしたキーがあれば更新すべきだ。
