클로드 코드 설정 파일에서 공개된 비밀번호와 키 1,379개 확인

클로드 코드는 기본적으로 셸 명령 실행 전 사용자에게 확인을 요청합니다. 사용자가 다시 묻지 않고 승인하기 옵션을 선택하면 프로젝트 내 설정 파일에 허용 규칙이 저장되며 이후 세션에서는 해당 명령을 묻지 않고 실행합니다. 이 규칙은 프롬프트에 제시된 내용만 포함하며 정확한 명령이 저장될 경우 그 안에 입력된 비밀번호나 토큰도 함께 저장됩니다. 연구진은 최신 모델인 오퍼스 5.5와 페이블 5.1을 사용해 이 동작을 재현했습니다.

클로드 코드는 지티 저장소에서 파일을 작성할 때 사용자의 전역 지티 제외 목록에 파일을 추가하여 무시되도록 설정합니다. 그러나 이 보호 장치는 해당 컴퓨터의 사용자 설정에만 적용되며 프로젝트 자체의 무시 목록에는 추가되지 않아 프로젝트와 함께 이동하지 않습니다. 연구진이 추적한 1,105개 저장소 중 539개에서 클로드를 공동 저자로 한 커밋이 파일을 변경한 것으로 나타났습니다.

공개 지티허브에서 발견된 파일 사본은 총 104,185개이며 이 중 약 1.1%인 1,122개에 비밀 정보가 포함되어 있습니다. 발견된 비밀 정보는 총 1,379개로 데이터베이스 비밀번호 379개, 공개 서버 에스에스에이치 로그인 43개, 지티허브와 지티랩, 엔피엠 토큰 42개, 에이와이에스 키 23개 등이 포함됩니다. 이 파일의 소유자 중에는 63개 조직이 있으며 대부분 소프트웨어 기업입니다. 일부에는 데이터베이스 벤더의 관리자 권한 클라우드 키와 의료 기록 데이터베이스 소유자 비밀번호가 포함되어 있습니다.

월요일 기준 비밀 정보가 포함된 모든 파일은 저장소의 기본 분기에 남아 있었으며 절반은 최소 217일 이상 존재했습니다. 파일의 이전 버전에는 현재 사본에 없는 추가 비밀 정보 734개가 509개 저장소에 포함되어 있으며 포크를 통해 211개 저장소로 더 확산되었습니다. 팀이 의도적으로 커밋하는 공유 설정 파일 76,011개 중 298개에도 비밀 정보가 있으며 이를 포함하면 총 1,994개 저장소에 2,539개의 비밀 정보가 존재합니다.

연구진이 비교한 16개 코딩 에이전트 중 클로드 코드는 승인된 전체 명령을 프로젝트 파일에 기본적으로 저장하는 유일한 도구로 확인되었습니다. 개발자들은 이 파일이 지티허브에 도달하지 않더라도 엔피엠 패키지, 도커 이미지, 지압 아카이브, 동기화 폴더 안에 남을 수 있어 주의해야 한다고 지적합니다. 2025년 9월 샤이훌루드 웜은 감염된 컴퓨터에서 트러플호그 시크릿 스캐너를 실행해 파일의 절반 이상을 비밀 정보로 판정했습니다. 일반 시크릿 스캐너인 길리크스와 트러플호그는 검증 단계 없이 실행했을 때 각각 564개와 643개만 탐지했으며 215개는 탐지하지 못했습니다. 이는 명령 안에 입력된 비밀번호가 일반 명령줄의 일반 단어로 인식되기 때문입니다.

클로드 코드 사용자들은 이전에 이 동작을 보고한 바 있습니다. 2025년 8월 11일에 제출된 이전 버그 보고서는 승인된 명령에 포함된 애피아이 키와 토큰이 설정 파일에 그대로 저장된다고 지적했습니다. 자동화 봇은 60일간의 활동이 없자 1월 3일에 해당 보고서를 계획되지 않음으로 닫았습니다. 연구진이 인용한 관련 보고 4건은 모두 같은 봇에 의해 닫혔으며 앤스로픽의 답변은 없었습니다.