Claude Code, l'assistent de programació d'Anthropic, demana permís abans d'executar ordres a l'ordinador del programador. Per estalviar clics, ofereix l'opció «Sí, i no m'ho tornis a preguntar»: a partir d'aquell moment, aquella ordre ja no torna a demanar autorització. El problema és on i com es guarda aquest permís. L'eina copia l'ordre aprovada, lletra per lletra, en un fitxer de configuració dins de la carpeta del projecte, `.claude/settings.local.json`. Si l'ordre portava escrita una contrasenya o una clau d'accés a un servei, la contrasenya també hi queda.
L'empresa de seguretat Apiiro ha buscat aquest fitxer a GitHub i n'ha trobat 104.185 còpies en 103.617 repositoris. En 1.122, prop d'un 1,1%, hi ha com a mínim una credencial: en total, 1.379 secrets diferents, entre els quals 379 contrasenyes de bases de dades, 43 accessos SSH a servidors públics, 42 claus de GitHub, GitLab i npm i 23 claus d'Amazon Web Services. Sumant versions antigues dels fitxers, còpies derivades i altres fitxers de configuració, el recompte arriba a 2.539 secrets en 1.994 repositoris. Segons els investigadors, Claude Code exclou el fitxer de les còpies de git només a l'ordinador de l'usuari, no a les regles del projecte, i en 539 dels 1.105 repositoris que van resseguir el va modificar un commit signat amb Claude com a coautor. D'un total de 16 agents de programació revisats, diuen, és l'únic que desa per defecte l'ordre sencera en un fitxer del projecte.
La troballa importa perquè mostra un risc nou dels agents de programació: no cal cap atac sofisticat si l'eina mateixa escampa les credencials. Apiiro explica que tots els fitxers amb secrets continuaven a la branca principal dels repositoris i que, en la meitat dels casos, feia com a mínim 217 dies que hi eren. Els detectors de secrets més usats tampoc no ho resolen: Gitleaks en va marcar 564 dels 1.122 fitxers i TruffleHog, 643, i n'hi va haver 215 que no va detectar cap dels dos. Els investigadors també recorden que el mateix comportament ja s'havia denunciat l'agost del 2025 en un informe d'error al repositori de Claude Code, que un programa automàtic va tancar com a «no previst» per inactivitat, igual que quatre informes semblants posteriors. Recomanen canviar primer totes les credencials exposades, treure després el fitxer del control de versions, afegir-lo al `.gitignore` i aprovar patrons d'ordres en lloc d'ordres amb valors literals.
Cal llegir les xifres amb prudència. Apiiro no ha comprovat si les credencials encara funcionen (una de les empreses avisades va confirmar que la seva sí) i diu que no sap si algú les ha fet servir. És una empresa que ven eines de seguretat per al desenvolupament de programari, i la recerca no ha passat per cap revisió independent. Segons la informació publicada, Anthropic no havia respost cap dels informes d'error; aquest diari no ha trobat cap resposta pública de l'empresa sobre la recerca.