Claude Code с «Don't Ask Again» слил пароли в 1 122 файла на GitHub

⚡ Главное за 5 секунд

• Опция «Don't Ask Again» в Claude Code снимает повторные подтверждения — и агент пишет в файлы что угодно, включая секреты.
• Apiiro нашла 1 122 файла в публичных репозиториях GitHub, где лежат пароли, попавшие туда таким путём.
• Реакции Anthropic в поводе нет: есть отчёт Apiiro и обсуждение на Hacker News — 434 балла, 292 комментария.

🔍 Что случилось

Apiiro выпустила разбор под заголовком «Claude Code's "Don't Ask Again" exposes passwords in 1,122 public GitHub files». Речь про режим подтверждений в Claude Code: агент спрашивает разрешение перед операциями, а «Don't Ask Again» убирает этот вопрос для выбранного типа действий. Дальше он работает без остановок — и, по данным Apiiro, в 1 122 публичных файлах на GitHub оказались пароли, которые он туда записал. Цифра 1 122 — это именно файлы, а не репозитории и не компании. Разница принципиальная.

Механика в общем виде — это контекст того, как обычно работают coding-агенты, а не детали отчёта. Агент правит .env, config.json или скрипт деплоя, видит рядом переменную с токеном и спокойно переносит её в новый файл. Потом git add., коммит, push — и секрет уехал в публичный репозиторий. Пока агент переспрашивает, у человека есть секунда, чтобы заметить. С «Don't Ask Again» этой секунды нет.

🧠 Наш разбор

Почему именно сейчас: агенты перестали быть советчиками и получили право записи в репозиторий. Логика «не спрашивать снова» экономит десятки кликов в день — и переносит решение о безопасности в тот момент, когда человек уже устал и хочет, чтобы всё просто работало. Наша оценка: проблема не в одной кнопке, а в том, что permission-диалоги стали слишком частыми, поэтому их и отключают.

Что это меняет: цена утечки сидит не в Claude Code, а в git-истории. Удалить файл следующим коммитом недостаточно — строка остаётся в истории и находится поиском по репозиторию. Мы считаем, что здесь важнее не «какой агент виноват», а то, что у большинства команд нет привычки ротировать ключи после случайного коммита.

Кто выигрывает: сканеры секретов и сервисы вроде GitHub secret scanning получают ещё один стабильный источник работы. Кто проигрывает: те, кто держит «Don't Ask Again» включённым глобально и пускает агента в репозитории с боевыми ключами. По опыту, именно так и бывает у небольших команд без отдельного security-человека.

⚠️ Чего мы не знаем

В поводе нет числа репозиториев и владельцев, нет данных, живые ли это ключи и сколько из 1 122 файлов — тестовые заглушки вроде example_password. Нет реакции Anthropic, нет CVE, нет независимого подтверждения методики. Источник один — компания по безопасности, которой тема интересна и как повод для публикации. 1 122 файла не равно 1 122 взлома: часть наверняка безобидна, но проверить это может только тот, у кого есть сами ключи.

Прогноз: в течение квартала хотя бы один крупный coding-агент добавит предупреждение о секретах в момент записи файла, а не только на этапе коммита.

Дисклеймер: официально не подтверждено, один источник — отчёт Apiiro.

Источник: Apiiro