Claude Code 설정 파일을 통해 GitHub에 기밀 정보가 유출, Apiiro 지적

Claude Code is accidentally exposing secrets all over GitHub

AI 요약

Apiiro의 연구자들은 Claude Code의 설정 파일이 GitHub 공개 저장소에 포함돼 데이터베이스 비밀번호, API 토큰, root 로그인 등 수천 건의 기밀 정보가 유출되고 있다고 지적했다. 원인은 셸 명령의 자동 실행을 승인할 때의 설정 처리 방식에 있다.

자세히

Apiiro가 발견한 것은 GitHub 리포지토리에 포함된 Claude Code 설정 파일에 들어 있던 수천 건의 기밀 정보다. 데이터베이스 비밀번호, API 토큰, root 로그인 정보 등이 포함되어 있었다고 한다.

발단은 Claude Code가 자동으로 실행하는 셸 명령의 승인 처리 방식이다. 사용자가 「Yes, and don't ask again」을 선택하면 그 선택이 규칙으로 로컬의 「.claude/settings.local.json」에 저장된다. 규칙은 패턴 형태로 작성되는 경우도 있지만, 명령어가 그대로 기록되는 경우가 많으며, 그 명령어에 포함된 기밀 정보도 함께 남게 된다.

출처: Ars Technica AI · arstechnica.com