Claude Code-instellingen lekken secrets naar GitHub en Docker Hub

Claude Code-instellingen lekken secrets naar GitHub en Docker Hub: GitGuardian vond 31.088 unieke geheimen in lokale configuratiebestanden en 613 in openbare containerimages, waarvan respectievelijk 5.343 en 99 geldig waren bij detectie.

Een persoonlijke Git-ignore houdt dit bestand alleen op één computer uit commits. De regel reist niet mee met een clone of Docker-build. Daardoor kan een wachtwoord uit een klant- of productieproject in Git-geschiedenis en containerimages blijven staan nadat het bestand is verwijderd. Teams moeten daarom hun Git-geschiedenis en images doorzoeken en iedere gevonden sleutel roteren.

Een persoonlijke ignore-regel reist niet mee

Claude Code kan een goedgekeurd commando blijvend als allow-regel opslaan in .claude/settings.local.json wanneer de ontwikkelaar “Yes, and don’t ask again” kiest. Staat een token in een curl-header, DATABASE_URL of wachtwoordparameter, dan komt het mee in de opdracht. Anthropic documenteert deze opslag van een goedgekeurde Bash-opdracht.

Als Claude Code het bestand in een Git-repository aanmaakt waar nog geen ignore-regel voor geldt, zet de tool het in een persoonlijke globale Git-ignore. Die regel beschermt die computer, maar reist niet mee met het project. GitHub legt uit dat een ingecheckte .gitignore de uitsluitingen deelt met andere gebruikers en clones. Een clone op een tweede machine krijgt die persoonlijke regel niet automatisch mee. Als Git het bestand al volgt, haalt een nieuwe ignore-regel het ook niet uit de repositorygeschiedenis.

Twee onderzoeken meten verschillende vensters

GitGuardian volgde openbare GitHub-commits van januari 2025 tot en met 7 november 2026. De 31.088 unieke secrets in .claude/settings.local.json stonden in 23.276 repositories. Een automatische, alleen-lezen controle vond 5.343 waarden geldig op het moment van detectie. GitGuardian speelde ze niet opnieuw af. Dat aantal zegt dus niet hoeveel sleutels nu nog werken of zijn misbruikt. In het gedeelde .claude/settings.json vond de onderzoeker 8.271 unieke secrets in 6.839 repositories, waarvan 1.283 geldig waren bij detectie.

Apiiro gebruikte een andere meetmethode. In de standaardbranches van 103.617 openbare repositories vond het tussen 1 en 3 november 104.185 kopieën van settings.local.json. Daarvan bevatten 1.122 bestanden 1.379 unieke secrets. Inclusief oudere Git-versies, gedeelde instellingen en agenttranscripten telde Apiiro 2.539 secrets in 1.994 repositories. Apiiro controleerde niet of de gevonden credentials nog werkten en vond 215 bestanden met secrets die noch Gitleaks noch TruffleHog markeerde. De onderzoeken kijken naar verschillende periodes en bestanden, dus hun totalen zijn niet rechtstreeks vergelijkbaar.

Het aantal unieke secrets dat op GitHub bij detectie geldig was, piekte volgens de tijdlijn op 1.364 in april 2026 en daalde tot 87 in oktober. Docker Hub telde die maand zeven. Het rapport verklaart de daling niet; november was nog niet compleet en staat daarom niet in de grafiek. Een lagere maandelijkse instroom haalt geen eerdere kopieën weg.

Docker neemt bestanden mee die Git negeert

Op Docker Hub telde GitGuardian 109.284 voorkomens in .claude/settings.local.json en 29.613 in .claude/settings.json, verdeeld over 543 openbare imagerepository’s en 7.625 tags. Herbouw kan dezelfde sleutel in veel tags plaatsen. In totaal waren er 613 unieke secrets, waarvan 99 geldig bij detectie. Eén geldige Cloudflare-sleutel stond in 559 tags van één image.

Docker legt uit dat COPY en ADD bestanden uit de buildcontext kunnen gebruiken en dat .dockerignore ze vóór verzending uit die context weert. Git-ignore regelt wat Git volgt; Docker-ignore regelt wat naar de builder gaat. Een lokaal Claude-bestand kan dus met COPY . . in een image belanden, tenzij .dockerignore het uitsluit. Een verwijderde regel uit Git haalt een al gebouwde image niet leeg.

Rotatie trekt de sleutel uit omloop

Op 7 november schreef Boris Cherny, hoofd van Claude Code, dat Anthropic preventie onderzoekt. Toen iemand wees op opdrachten die ook in auto mode gevoelige waarden kunnen bevatten, antwoordde Cherny “good catch”. Hij noemde detectie in auto mode en ingebouwde secretscanning als mogelijke proefprojecten.

Dit risico heeft een ander pad dan de besmette Cursor-extensie versie 2.1.313, die elf uur in de marktplaats stond en een SSH-achterdeur op ontwikkelcomputers probeerde te plaatsen. GitGuardian meet geheimen in configuratiebestanden die in Git of images terechtkomen. Microsoft beschreef eerder een agent die in één waargenomen keten binnen vijf minuten van een GitHub-scan naar data uit Azure Key Vault ging. Dat was actief zoeken en gebruik van gevonden sleutels.

Voeg .claude/settings.local.json toe aan de project-.gitignore en haal het uit de index als Git het al volgt. Sluit .claude/ uit via .dockerignore en zoek ook in Git-geschiedenis en containerregistries. Roteer aangetroffen credentials voordat je oude kopieën opruimt. De controle volgt het geheim van de toestemmingsregel in Claude Code via de Git-geschiedenis tot de containerimage die uit de werkmap wordt gebouwd.