Claude Code está dejando información sensible en repositorios públicos de GitHub por cómo gestiona sus ficheros de ajustes. Lo han descubierto los investigadores de seguridad de Apiiro, que han encontrado miles de secretos, entre ellos contraseñas de bases de datos, tokens de API y credenciales de root, dentro de ficheros de configuración de la herramienta de Anthropic incluidos en proyectos publicados.
Según recoge Ars Technica, Apiiro localizó más de 100.000 casos en los que el fichero de ajustes local de Claude Code se había subido a un repositorio público. De ellos, unos 1.100, de 63 organizaciones distintas, contenían secretos como tokens de API, contraseñas de bases de datos o claves privadas.
El problema nace al pulsar «Sí, y no volver a preguntar»
La filtración tiene su origen en cómo Claude Code pide permiso para ejecutar comandos de terminal de forma automática. Cuando el usuario elige la opción «Sí, y no volver a preguntar» (Yes, and don’t ask again), esa decisión se guarda como una regla en el fichero local .claude/settings.local.json.
A veces esa regla se escribe como un patrón genérico. Pero, según el artículo original, muchas veces el comando se copia tal cual al fichero, con cualquier dato sensible que llevara dentro. Si el comando incluía una contraseña o un token, ahí se queda.
El .gitignore global no protege el fichero cuando cambia de máquina
Mientras el fichero se quede en el ordenador del usuario, el riesgo es limitado, salvo que ese equipo quede comprometido. Anthropic indica en la documentación de Claude Code que este fichero se añade a la lista .gitignore global del desarrollador, lo que normalmente impide que se comparta.
La pega es que esa exclusión no se refleja a nivel de repositorio. El fichero puede subirse por accidente si el repositorio se clona en otra máquina o si una carpeta se convierte más tarde en repositorio. Además, Apiiro sostiene que en muchos casos es el propio Claude Code el que confirma cambios en el fichero de ajustes sin intervención del usuario.
Borrar el fichero tampoco basta: los secretos pueden seguir vivos en las bifurcaciones (forks) del proyecto original aunque se eliminen del repositorio de partida.
El fallo se avisó en agosto de 2025 y los informes se cerraron sin cambios
El asunto no es nuevo. Ya se señaló en un informe de errores de Claude Code en agosto de 2025. Otros informes apuntaban a que el fichero a veces no se añadía al .gitignore o a que la herramienta podía guardar los comandos sensibles en otro fichero sin protección frente a git.
Todos esos informes se cerraron sin ninguna medida tras 60 días de inactividad.
Anthropic estudia cómo evitarlo y recomienda el modo automático
En un hilo de Hacker News el pasado fin de semana, Boris Cherny, de Claude Code, aseguró que el equipo está «estudiando qué podemos hacer para evitarlo». También defendió que estos ficheros no deberían subirse casi nunca al control de versiones y que los casos parecían darse solo cuando «los ficheros se crearon y se subieron a mano».
Como solución temporal, Cherny recomendó el modo automático de Claude Code, que usa clasificadores para gestionar las «solicitudes de permiso rutinarias» sin tener que mantener a mano listas de permitidos y denegados. Cuando otro usuario le señaló que en ese modo los comandos sensibles también pueden acabar en los ficheros de ajustes, Cherny lo calificó de «buena observación» y dijo que el equipo está «pensando qué podemos hacer para mejorarlo».
Los escáneres de secretos no detectaron 215 de los casos encontrados
Si usas Claude Code en proyectos con git, el mecanismo explica dónde mirar. Cada aprobación permanente puede dejar un comando completo, con sus credenciales, en .claude/settings.local.json; ese fichero solo está excluido por el .gitignore global de tu máquina; y basta clonar el proyecto en otro equipo o convertir una carpeta en repositorio para que esa exclusión desaparezca. Quien tenga repositorios públicos y haya aprobado comandos con contraseñas o tokens dentro es quien está expuesto, sobre todo si el proyecto tiene bifurcaciones.
Cherny aconseja usar escáneres de secretos, que rastrean los ficheros en busca de datos sensibles y los eliminan, y dijo que el equipo valora integrar esa función en Claude Code. Pero aquí está la letra pequeña: de los cerca de 1.100 secretos públicos que encontró Apiiro, 215 no los marcaron ni gitleaks ni TruffleHog, dos de los escáneres más populares. Pasar un escáner reduce el riesgo, pero no garantiza que el repositorio esté limpio.
Lo que falla es la combinación de guardar comandos literales, una exclusión que vive solo en el equipo del usuario y confirmaciones automáticas que pueden arrastrar el fichero a un repositorio compartido.
No es el primer agente de IA que filtra datos sin querer
El caso se suma a otros recientes. Meta suspendió la función de compartir de su agente Muse después de que unos investigadores de seguridad descubrieran que las direcciones de esos enlaces se podían adivinar con facilidad, recuerda la publicación.
Te puede interesar
Tech Planet participa en el programa de afiliados de Amazon. Si compras a través de estos enlaces, recibimos una pequeña comisión sin coste extra para ti, lo que nos ayuda a seguir creando contenido como este.
| Imagen | Producto | Características | Comprar |
|---|---|---|---|
 |
Yubico YubiKey 5C NFC | USB-C y NFC · FIDO2/WebAuthn, FIDO U2F, OTP, tarjeta inteligente y OpenPGP · sin pilas ni batería | Ver precio en Amazon |
 |
Yubico YubiKey 5 NFC, pack USB-A y USB-C | Dos llaves, una USB-A y otra USB-C · NFC · FIDO2/WebAuthn, U2F, OTP y tarjeta inteligente | Ver precio en Amazon |
 |
Bitdefender Total Security 2026, 5 dispositivos | Un año para cinco dispositivos · Windows, macOS, iOS y Android · código de activación por email | Ver precio en Amazon |
 |
Thetis Pro FIDO2 | FIDO 2.0 y NFC · doble conector USB-A y USB-C · cubierta metálica giratoria de 360° | Ver precio en Amazon |
Escrito por Eloy Andrade
