La société de sécurité Apiiro a découvert 2,539 véritables secrets dans 1,994 dépôts GitHub publics, notamment des identifiants dans des fichiers de configuration Claude Code, l’historique Git, des paramètres partagés et des transcriptions d’agents.

Points clés à retenir

• Apiiro a découvert 2,539 véritables secrets dans 1,994 dépôts GitHub publics, notamment des identifiants dans des fichiers Claude Code et des enregistrements d’agents associés.

• Le problème concerne les fichiers locaux « .claude/settings.local.json », créés après l’utilisation de l’option « ne plus demander » dans Claude Code.

• Apiiro affirme avoir découvert de véritables secrets dans des dépôts publics, ce qui signifie que des clés cloud, des jetons d’API ou des identifiants internes pourraient avoir été exposés.

• Les équipes devraient vérifier les règles d’exclusion, étendre les outils de détection des secrets aux dossiers cachés et révoquer toute clé ayant été publiée dans un dépôt public.

Apiiro indique que le problème concerne « .claude/settings.local.json », un fichier local que les développeurs peuvent envoyer par inadvertance dans un commit après avoir utilisé l’option « ne plus demander » dans Claude Code. Sur les 104,185 copies publiques de ce fichier sur GitHub, 1,122 contenaient un véritable secret et 63 organisations étaient touchées, dont une a confirmé que sa clé était encore active.

À lire également : Claude Code d’Anthropic a envoyé les adresses e-mail des utilisateurs à des sites Web

Ces chiffres sont importants, car il ne s’agissait pas de chaînes de test théoriques. Apiiro affirme avoir découvert de véritables secrets dans des dépôts publics, ce qui signifie que des clés cloud, des jetons d’API ou des identifiants internes pourraient déjà avoir été exposés à toute personne explorant GitHub.

Une fonctionnalité pratique devient ainsi un risque pour la chaîne d’approvisionnement.

Les secrets de Claude Code transforment la commodité en exposition

Les agents de programmation demandent de plus en plus souvent une autorisation permanente afin de pouvoir exécuter des commandes, installer des paquets ou appeler des outils sans s’interrompre pour demander une approbation à chaque fois. Cela rend les outils plus rapides, mais crée aussi une nouvelle forme de résidu : des paramètres sensibles sont écrits sur le disque, puis intégrés au contrôle de version.

Dès qu’un fichier entre dans un dépôt public, ses copies peuvent se propager rapidement par le biais de forks, de miroirs et d’index de recherche.

Même si un développeur supprime le fichier par la suite, le secret a peut-être déjà été copié.

La découverte d’Apiiro s’inscrit dans une évolution plus large, de la saisie semi-automatique vers la programmation agentique. Les nouveaux outils ne se contentent pas de suggérer des lignes de code : ils inspectent aussi des fichiers, exécutent des tâches et mémorisent des décisions.

Cette portée plus large rend les fichiers de configuration locaux bien plus sensibles qu’ils ne l’étaient dans les anciens assistants de programmation.

Des paramètres par défaut utiles à une véritable surface d’attaque

Depuis des années, les équipes de sécurité mettent en garde contre les clés inscrites en dur dans le code source. La nouveauté, c’est que les agents d’IA peuvent créer ces expositions en mémorisant des autorisations, plutôt qu’en laissant un développeur coller manuellement des identifiants dans une application.

Cette distinction est importante pour les plans d’intervention.

Les outils traditionnels de détection des secrets recherchent des jetons dans les fichiers source, tandis que les risques générés par les agents peuvent se trouver dans des chemins locaux cachés, des paramètres d’outils ou des dossiers propres à une machine, que les développeurs n’auraient jamais pensé à publier. Les programmes de sécurité axés uniquement sur la revue de code peuvent passer à côté de ce risque.

Le problème s’inscrit également dans une tendance observée lors du déploiement de l’IA en entreprise.

Les entreprises adoptent des agents pour accélérer le travail d’ingénierie, puis découvrent que l’outil a créé de nouveaux mécanismes de stockage, de journalisation ou d’approbation en dehors des contrôles habituels. Ces angles morts expliquent en partie pourquoi de nombreuses organisations considèrent désormais les outils d’IA pour développeurs comme des produits de sécurité, et non comme de simples logiciels de productivité.

Ce que les développeurs doivent vérifier dès maintenant

Les équipes qui utilisent Claude Code devraient vérifier que les fichiers de paramètres locaux sont exclus des commits et que les outils d’analyse des dépôts couvrent les répertoires cachés.

Elles devraient révoquer toute clé susceptible d’avoir été publiée dans un dépôt public, car sa suppression ne garantit pas que l’identifiant soit resté confidentiel.

Le rapport d’Apiiro met précisément en avant « .claude/settings.local.json » comme chemin de stockage des enregistrements d’autorisations persistantes après l’utilisation de l’option « ne plus demander ». Ce fichier constitue le vecteur qui relie le comportement de l’agent d’Anthropic aux jetons exposés dans des dépôts GitHub publics.

Les développeurs devraient surveiller les changements apportés par les fournisseurs aux chemins de fichiers, aux règles d’exclusion et au stockage des autorisations, car ces détails d’interface déterminent si la rapidité de l’agent reste locale ou entraîne une fuite publique.

Pourquoi les fichiers cachés sont plus importants qu’on ne le pense

Les secrets de Claude Code sont dangereux, car ils se cachent dans des endroits que de nombreuses équipes n’examinent pas attentivement.

Un développeur peut penser que l’action sensible a eu lieu dans l’assistant, alors que la véritable preuve se trouve dans un fichier de configuration sur le disque. Lorsque ce fichier est envoyé sur GitHub, l’exposition cesse d’être une erreur personnelle et devient un problème de dépôt.

Pour les équipes plateforme, la solution est simple.

Ajoutez le chemin du fichier local aux listes d’exclusion, étendez les outils de détection des secrets aux dossiers cachés et bloquez les commits contenant des fichiers de configuration d’agents connus. Révoquez rapidement les identifiants lorsqu’un dépôt devient public.

Pour les fournisseurs comme Anthropic, la pression va s’intensifier autour des choix de stockage par défaut et de la mémorisation plus sûre des autorisations. Le prochain champ de bataille des agents de programmation pourrait être l’endroit où l’agent écrit sa mémoire.

À lire ensuite : le guide de GitHub place Copilot dans 4 métiers du développement ; les humains tranchent