Avec l'option « ne plus demander » de l'IA Claude Code, des mots de passe finissent sur GitHub

La scène est banale pour qui programme avec un assistant d'IA. Le développeur demande à Claude Code, l'outil de programmation d'Anthropic, de tester la connexion à une base de données. L'agent prépare une commande qui contient le mot de passe et demande la permission de l'exécuter. Parmi les choix proposés : « Yes, and don't ask again », oui, et ne plus demander. Un clic, et la commande est recopiée telle quelle, mot de passe compris, dans un fichier du projet.

Ce fichier, .claude/settings.local.json, n'est pas censé quitter le poste du développeur. La société de sécurité Apiiro en a pourtant trouvé 104 185 copies publiques sur GitHub, lors d'une collecte menée du 1^er au 3 novembre. Dans 1 122 d'entre elles, il y avait au moins un vrai secret : mot de passe, clé ou jeton d'accès. L'étude a été reprise le 7 novembre par The Hacker News, GBHackers et Cybersecurity News.

Des bases de données de production parmi les fuites

Ces 1 122 fichiers contiennent 1 379 secrets distincts. Plus d'un tiers donnent directement accès à une base de données, dont 379 mots de passe. Apiiro relève aussi 43 identifiants SSH de serveurs publics, dont certains avec le mot de passe root, 42 jetons GitHub, GitLab ou npm, 23 clés AWS et, selon GBHackers, 122 clés de service Supabase. Les 63 organisations identifiées sont surtout des éditeurs de logiciels. On y trouve un mot de passe de base PostgreSQL de production sur Azure et celui d'une base de dossiers médicaux. En comptant l'historique Git, le fichier partagé .claude/settings.json et les conversations enregistrées de l'agent, le total monte à 2 539 secrets dans 1 994 dépôts.

Apiiro n'a pas testé ces identifiants : un « vrai secret » a ici l'apparence d'un identifiant crédible, ce qui ne prouve pas qu'il fonctionne. Une entreprise a toutefois confirmé que sa clé exposée était active, selon Cybersecurity News.

Pourquoi les outils de détection passent à côté

Deuxième mauvaise surprise : les détecteurs de secrets les plus répandus ne repèrent pas tout. Sur les 1 122 fichiers, gitleaks en a signalé 564 et TruffleHog 643, et 215 n'ont été repérés par aucun des deux. Un mot de passe tapé après PGPASSWORD= ou sshpass -p ressemble à un mot ordinaire dans une ligne de commande. Il n'a pas le format reconnaissable d'une clé d'API.

Anthropic a bien prévu une protection : selon sa documentation, Claude Code configure Git pour ignorer ce fichier lorsqu'il le crée. Mais d'après Apiiro, cette exclusion est inscrite dans la configuration Git globale du développeur. Elle ne suit donc pas le projet sur une autre machine, et elle ne protège ni un fichier déjà suivi par Git ni un dossier transformé plus tard en dépôt. Apiiro a comparé la documentation de 16 agents de programmation : Claude Code est, selon l'étude, le seul dont il est confirmé qu'il enregistre par défaut la commande approuvée complète dans un fichier du projet. Un ticket ouvert sur GitHub signalait dès août 2025 ce stockage en clair. Selon un billet publié sur la plateforme DEV, il a été fermé automatiquement le 3 janvier 2026, faute d'activité. Les articles consacrés à l'étude ne rapportent aucune réponse d'Anthropic.

Que faire si vos équipes utilisent Claude Code ?

Aucune faille sophistiquée ici : un réflexe de confort a suffi. Les mesures recommandées par Apiiro tiennent en quelques lignes, à condition de les appliquer dans le bon ordre :

• changez d'abord les mots de passe, jetons et clés que ces fichiers ont pu contenir, avant tout nettoyage. Supprimer le fichier ne suffit pas, puisqu'il reste dans l'historique Git, les copies (forks) et les archives ;
• retirez le fichier du suivi avec git rm --cached .claude/settings.local.json, puis ajoutez ce chemin au .gitignore du dépôt lui-même ;
• cherchez ce fichier dans l'historique de vos dépôts et relisez aussi .claude/settings.json, partagé par l'équipe : Apiiro a trouvé des secrets dans 298 des 76 011 copies publiques ;
• passez par des variables d'environnement ou un gestionnaire de secrets plutôt que d'écrire un mot de passe dans une commande ;
• complétez les détecteurs automatiques par une recherche de motifs comme PGPASSWORD=, sshpass -p ou mysql -p.

Le risque ne se limite pas à GitHub : sur un poste infecté, un logiciel malveillant peut lire ces fichiers en clair. Comme lors de la fuite des clés enregistrées sur OpenCode, les secrets confiés aux outils de programmation par IA deviennent une cible à part entière. Reste à savoir si Anthropic changera la façon dont Claude Code mémorise les autorisations.