La empresa de seguridad Apiiro encontró 2.539 secretos reales en 1.994 repositorios públicos de GitHub, incluidas credenciales en archivos de configuración de Claude Code, el historial de Git, la configuración compartida y las transcripciones de agentes.
Puntos clave
Apiiro encontró 2.539 secretos reales en 1.994 repositorios públicos de GitHub, incluidas credenciales en archivos de Claude Code y registros relacionados de agentes.
El problema se centra en los archivos locales “.claude/settings.local.json” creados tras usar la opción «no volver a preguntar» en Claude Code
Apiiro afirmó haber identificado secretos reales en repositorios públicos, lo que significa que podrían haberse expuesto claves de la nube, tokens de API o credenciales internas
Los equipos deben revisar las reglas de exclusión, ampliar los detectores de secretos para que revisen las carpetas ocultas y rotar cualquier clave que haya llegado a un repositorio público
Apiiro afirmó que el problema se centra en “.claude/settings.local.json”, un archivo local que los desarrolladores pueden subir accidentalmente al usar la opción «no volver a preguntar» en Claude Code. De las 104,185 copias públicas de ese archivo en GitHub, 1,122 contenían un secreto real y 63 organizaciones se vieron afectadas, incluida una que confirmó que su clave había estado activa.
También lee: Claude Code de Anthropic ha estado enviando las direcciones de correo electrónico de los usuarios a sitios web
Las cifras importan porque no se trataba de cadenas de prueba teóricas. Apiiro afirmó haber identificado secretos reales en repositorios públicos, lo que significa que claves de la nube, tokens de API o credenciales internas podrían haber quedado expuestos a cualquiera que rastree GitHub.
Eso convierte una función práctica en un riesgo para la cadena de suministro.
Los secretos de Claude Code convierten la comodidad en exposición
Cada vez más, los agentes de programación solicitan permisos permanentes para poder ejecutar comandos, instalar paquetes o usar herramientas sin detenerse a pedir aprobación cada vez. Esto hace que las herramientas parezcan más rápidas, pero también crea un nuevo tipo de residuo: configuraciones sensibles que terminan guardadas en el disco y luego se suben al control de versiones.
Cuando un archivo entra en un repositorio público, sus copias pueden propagarse rápidamente a través de bifurcaciones, réplicas e índices de búsqueda.
Aunque un desarrollador elimine el archivo más tarde, es posible que el secreto ya se haya copiado.
El hallazgo de Apiiro se enmarca en un cambio más amplio: de la autocompletación a la programación con agentes. Las nuevas herramientas no solo sugieren líneas de código, sino que también inspeccionan archivos, ejecutan tareas y recuerdan decisiones.
Ese alcance más amplio hace que los archivos de configuración locales sean mucho más sensibles que en los asistentes de programación anteriores.
De opciones predeterminadas útiles a una superficie de ataque real
Desde hace años, los equipos de seguridad advierten sobre las claves codificadas directamente en el código fuente. La novedad es que los agentes de IA pueden generar estas exposiciones mediante la memoria de permisos, en lugar de que un desarrollador pegue manualmente las credenciales en una aplicación.
Esa diferencia importa a la hora de planificar la respuesta.
El análisis tradicional de secretos busca tokens dentro de los archivos de código fuente, mientras que los riesgos generados por agentes pueden estar en rutas locales ocultas, configuraciones de herramientas o carpetas específicas de una máquina que los desarrolladores nunca pensaron publicar. Los programas de seguridad basados únicamente en la revisión del código pueden pasar por alto esa vía.
El problema también encaja en un patrón de las implementaciones de IA empresarial.
Las empresas incorporan agentes para acelerar el trabajo de ingeniería y luego descubren que la herramienta ha creado nuevos estados de almacenamiento, registro o aprobación fuera de los controles de las políticas habituales. Esos puntos ciegos son una de las razones por las que muchas organizaciones ahora tratan las herramientas de IA para desarrolladores como productos de seguridad, no solo como software de productividad.
Qué deben comprobar ahora los desarrolladores
Los equipos que usan Claude Code deben comprobar si los archivos de configuración locales están excluidos de las confirmaciones y si los escáneres de repositorios cubren los directorios ocultos.
Deben rotar cualquier clave que pueda haber llegado a un repositorio público, porque eliminarla no garantiza que la credencial haya permanecido privada.
El informe de Apiiro destaca específicamente “.claude/settings.local.json” como la ruta donde se almacenan los registros persistentes de permisos después de usar la opción «no volver a preguntar». Ese archivo es el vector que vincula el comportamiento del agente de Anthropic con los tokens expuestos en repositorios públicos de GitHub.
Los desarrolladores deben estar atentos a los cambios de los proveedores en las rutas de archivos, las reglas de exclusión y el almacenamiento de permisos, porque esos detalles de interfaz determinan si la velocidad del agente se mantiene en el ámbito local o acaba provocando una filtración pública.
Por qué importan más los archivos ocultos
Los secretos de Claude Code son peligrosos porque se esconden en lugares que muchos equipos no revisan detenidamente.
Un desarrollador puede pensar que la acción sensible ocurrió dentro del asistente, pero la evidencia real está en un archivo de configuración del disco. Cuando ese archivo se sube a GitHub, la exposición deja de ser un error personal y se convierte en un problema del repositorio.
Para los equipos de plataforma, la solución es sencilla.
Añade la ruta del archivo local a las listas de exclusión, amplía los detectores de secretos para que revisen las carpetas ocultas y bloquea las confirmaciones que contengan archivos de configuración de agentes conocidos. Rota las credenciales rápidamente cuando un repositorio se haga público.
En el caso de proveedores como Anthropic, aumentará la presión para que elijan opciones de almacenamiento predeterminadas y memorias de permisos más seguras. El próximo campo de batalla de los agentes de programación podría ser el lugar donde el agente guarda su memoria.
Lee a continuación: La guía de GitHub sitúa a Copilot en cuatro trabajos de programación; los humanos deciden