---
title: クラウドコードの「再問しない」ファイルがGitHubの1122の公開コピーでパスワードとキーを公開
url: https://www.elseif.net/ja/github1122
published: 2026-11-10T05:04:31+00:00
language: ja
section: ハーネス
source: https://thehackernews.com/2026/11/claude-codes-dont-ask-again-file.html
organizations: Apiiro, Anthropic, GitHub, Claude Code
publisher: elseif
---

# クラウドコードの「再問しない」ファイルがGitHubの1122の公開コピーでパスワードとキーを公開

クラウドコードで承認されたコマンドに含まれるパスワードやAPIキーが、GitHubの公開リポジトリで誰でも読める状態になっていることが分かりました。クラウドコードは、ユーザーが「はい、再問しない」を選択すると、コマンドをプロジェクト設定ファイルに保存することができます。このファイルには、パスワードやキーが平文で保存されることがあります。ソフトウェアセキュリティ会社のApiiroは、1122の公開コピーのうち、至少1つのシークレットを含むファイルが存在することを確認しました。

クラウドコードは、プロジェクト設定ファイルをgitから除外しようとしますが、この保護はユーザーのgit設定にのみ適用され、プロジェクト自体には適用されません。したがって、すでにコミットされたファイルやフォークされたリポジトリには、この保護は適用されません。Apiiroの調査では、104,185のコピーのうち、1.1%にあたる1,122のコピーが至少1つのシークレットを含んでいます。

これらのシークレットには、データベースパスワードやSSHログイン、GitHubやGitLabのトークン、AWSキーなどが含まれています。Apiiroは、開発者に対して、シークレットを含むファイルを削除し、パスワードやトークンを更新することを推奨しています。さらに、セキュリティチームに対しては、シークレットスキャナーを使用して、シークレットを含むファイルを検出することを推奨しています。

クラウドコードのこの挙動は、以前にも報告されていましたが、Anthropicからの返答はありませんでした。