Datenlecks bei Claude Code legen Tausende vertraulicher Informationen auf GitHub offen

Datenlecks bei Claude Code haben Tausende Zugangsdaten in öffentlichen GitHub-Repositories offengelegt, wie das Unternehmen für Anwendungssicherheit Apiiro berichtet. Die Forscher fanden Passwörter, API-Token und Cloud-Schlüssel in lokalen Konfigurationsdateien, in denen zuvor von Entwicklern genehmigte Befehle gespeichert waren.

Genehmigte Befehle brachten Zugangsdaten in GitHub-Repositories

Apiiro identifizierte 104.185 öffentlich zugängliche Kopien der Datei .claude/settings.local.json in 103.617 GitHub-Repositories. In diesen Dateien entdeckten die Forscher 2.539 sensible Geheimnisse in insgesamt 1.994 Repositories. Zu den offengelegten Informationen gehörten Dienst-Token, Datenbankpasswörter, API-Schlüssel für KI-Modelle und Dutzende SSH-Zugangsdaten für Root-Konten.

Einige Zugangsdaten ermöglichten den Zugriff auf besonders sensible Systeme. Dazu gehörten ein administrativer Cloud-Schlüssel eines Datenbankanbieters und das Eigentümerpasswort einer Datenbank mit Patientenakten. Außerdem identifizierten die Forscher ein Passwort für eine produktiv genutzte Azure-PostgreSQL-Datenbank sowie ein Produktions-Token für Square.

Die meisten betroffenen Repositories gehörten einzelnen Entwicklern. Allerdings identifizierte Apiiro auch 63 Organisationen, darunter Start-ups, Softwareagenturen und etablierte Anbieter. Die Ergebnisse betrafen somit nicht ausschließlich private Programmierprojekte.

Wie Datenlecks bei Claude Code entstehen

Laut Apiiro kann die Auswahl der Option „Yes, and don’t ask again“ dazu führen, dass ein genehmigter Terminalbefehl in der lokalen Konfigurationsdatei gespeichert wird. Enthält dieser Befehl ein Passwort oder einen Token, kann die Berechtigungsregel diese Information im Klartext speichern. Wird die Datei anschließend veröffentlicht, werden die Zugangsdaten zusammen mit dem Projekt offengelegt.

Claude Code versucht, die Datei mithilfe einer Ignorierregel von Git auszuschließen. Die Forscher erklärten jedoch, dass dieser Schutz bei der Arbeit auf mehreren Computern, in neu erstellten Repositories und bei Dateien, die Git bereits verfolgt, versagen kann. Außerdem wiesen sie darauf hin, dass eine globale Ausschlussregel nicht zusammen mit dem Projekt übertragen wird.

In einer separaten Analyse von 1.105 Repositories mit tatsächlich offengelegten Geheimnissen stellte Apiiro fest, dass Claude bei 539 relevanten Commits als Mitautor aufgeführt war. Diese Commits veränderten die betroffene Konfigurationsdatei. Das deutet darauf hin, dass der KI-Agent selbst an der Veröffentlichung eines Teils der sensiblen Informationen beteiligt war.

Sicherheitsscanner können Passwörter in Befehlen übersehen

Apiiro erklärte, dass Tools wie Gitleaks und TruffleHog Zugangsdaten, die in gewöhnliche Befehlszeilen eingebettet waren, häufig nicht erkannten. Scanner können bekannte Token-Präfixe und charakteristische Schlüsselformate identifizieren. Ein Passwort, das als Befehlsargument übergeben wird, kann dagegen wie gewöhnlicher Text aussehen.

Die Forscher entdeckten außerdem geheime Informationen in Chatprotokollen, Speicherdateien von KI-Agenten, Bereitstellungsnotizen und Übergabedokumenten. Darüber hinaus identifizierten sie offengelegte Daten in den Genehmigungseinstellungen von VS Code Copilot sowie in ähnlichen Dateien auf GitLab und Hugging Face. Das Problem beschränkt sich daher weder auf eine einzelne Konfigurationsdatei noch auf eine bestimmte Hostingplattform.

Anthropic prüft Maßnahmen zur Verhinderung weiterer Datenlecks

Boris Cherny, der Verantwortliche für Claude Code bei Anthropic, erklärte, dass sein Team mögliche vorbeugende Änderungen untersuche. Er betonte, dass Claude die Konfigurationsdatei bei ihrer Erstellung automatisch ausschließe. Die gemeldeten Fälle führte er auf Dateien zurück, die manuell erstellt und in Git aufgenommen worden seien. Cherny empfahl außerdem den automatischen Genehmigungsmodus und die GitHub-Funktion zur Erkennung geheimer Zugangsdaten.

Unterdessen forderte Apiiro Entwickler auf, offengelegte Zugangsdaten auszutauschen und Berechtigungsregeln zu entfernen, die Geheimnisse im Klartext enthalten. Das Löschen einer öffentlichen Datei beseitigt nicht unbedingt vorhandene Kopien im Git-Verlauf, in Forks oder in geklonten Repositories. Die Forscher empfahlen zudem, sensible Dateien von KI-Agenten aus Repositories, Softwarepaketen, Container-Images und Archivdateien herauszuhalten.

Um zukünftige Datenlecks bei Claude Code zu vermeiden, können Entwickler über Umgebungsvariablen auf Zugangsdaten verweisen, die von einem Geheimnisverwaltungssystem bereitgestellt werden. Dadurch müssen die eigentlichen Zugangsdaten nicht direkt in einen genehmigten Befehl geschrieben werden.