Claude Codeの「もう聞かない」でパスワード漏洩　1,122件は誰のせい

GitHubで公開されていたファイル1,122個の中に、本物のパスワードや鍵が入っていた。セキュリティ会社のApiiroが11月初めに公表した話で、原因はClaude Codeの設定ファイルだという。「はい、もう聞かないで」を押すと作られる、あのファイルだ。

「もう聞かない」が、コマンドをまるごと覚える

Claude Codeは、ターミナルからAIにコマンドを実行させる道具だ。危なそうなコマンドの前には「実行していい？」と聞いてくる。ここで「はい、もう聞かないで」を選ぶと、そのコマンドが `.claude/settings.local.json` というファイルに、許可するものとして書き込まれる。

まるごと書き込まれる。`sshpass -p` のようにコマンドの中にパスワードを直接打っていたら、そのパスワードも文字のまま残る。そのファイルがリポジトリごと公開されていた。

Apiiroは、公開されていたこのファイル104,185個を調べた。秘密が1つ以上入っていたのは1,122個、割合は1.1%。全校生徒1,000人の学校なら11人くらいだ。中身はデータベースのパスワードが379件、Supabaseのサービスロールキーが122件、公開サーバーへのSSHログインが43件。データベースに直接入れる鍵が全体の3分の1を超えた、とApiiroは書いている。

シークレットスキャンもすり抜けていた。1,122個のうち、gitleaksが見つけたのは564個、TruffleHogは643個。215個はどちらも見つけられなかった。コマンドの後ろに直接打ったパスワードは、よくある鍵の形をしていないからだ。

Anthropicは「ローカルに置くファイルだ」と説明した

11月7日、この話がHacker Newsに投稿されると、Claude Codeチームのボリス・チェルニー氏が答えた。このファイルはローカルに置いたままにするもので、ソース管理に入れるものではない。Claudeが作ったときは自動でgitignoreに入れている――つまり、公開されていた分は人が自分で作って入れたことになる、という説明だ。

あわせて「許可ルールはもう古い」とも書いた。手で一覧を作るよりオートモードのほうが安全で、どのプランでも無料だ、と。

でも、約半分はClaudeが自分でコミットしていた

ただ、Apiiroの報告には、この説明と食い違う数字がある。秘密が入っていたリポジトリのうち1,105件をたどると、539件で「Claudeを共同作者として記録したコミット」がそのファイルを書き換えていた。約半分だ。人が手で入れたのではなく、AIが自分で書いて自分でコミットした形になる。

設計の責任を問う側は、`.env` や `.claude` のような場所を最初から対象外にしておけばいいと言う。Apiiroも、許可ルールを保存するときコマンドをまるごと覚えず、秘密の部分を取り除くべきだったと指摘する。同じ内容のバグ報告は2025年8月から出ていた。Apiiroが見つけた4件のうち返事があったものはなく、3件は反応なしや重複として自動で閉じられていた。

心配な人は、やる順番が大事だ。まず鍵をローテーションする。消しても、gitの履歴には残るからだ。そのあと `git rm –cached .claude/settings.local.json` で管理から外し、`.gitignore` に書き足す。

11月8日の時点で、Claude Codeの公開されている変更履歴に、この件を直したという記載はない。チェルニー氏は「どうすれば防げるか考えている」と書いたが、期限は示していない。

ネットの評判

Hacker Newsのこの投稿は346点、コメントは237件（確認時点）。意見は割れている。多いのは「ユーザーの不注意」で、ローカル用の設定を公開の置き場所に入れたほうが悪い、という声だ。あるユーザーは、`.claude` を入れるのは鍵のファイルを入れるのと同じくらい間抜けだと書いた。

反対に、確認を求められる回数が多すぎて中身を読まずに「もう聞かない」を押すようになる、という声もある。別のユーザーは、npmやuvも平文でAPIキーをファイルに書いており、AIに限った話ではないと指摘した。