Claude Code expose 1 379 secrets dans 1 122 dépôts GitHub publics
7 novembre 2026 · Cybersécurité
La société Apiiro a découvert que le fichier de configuration .claude/settings.local.json d'Anthropic Claude Code stocke en clair les commandes approuvées par les développeurs, y compris les mots de passe et clés API qu'elles contiennent. Sur 104 185 copies publiques trouvées sur GitHub, 1 122 exposent au moins un secret, pour un total de 1 379 secrets distincts incluant 379 mots de passe de bases de données, 43 logins SSH et 23 clés AWS. Claude Code est présenté comme le seul des 16 agents de code analysés à adopter ce comportement par défaut, et Anthropic n'aurait pas répondu aux signalements antérieurs datant d'août 2025.
Impact marchés
Anthropic (non cotée) est directement concernée. L'incident renforce les risques de réputation pour les outils de codage assisté par IA (GitHub Copilot, Cursor, Gemini Code). Les éditeurs de secrets managers et de solutions de sécurité DevOps (GitGuardian, Apiiro, Snyk) pourraient en bénéficier.
Opportunités
Opportunité pour les fournisseurs de scan de secrets et de sécurité CI/CD face à la multiplication des agents IA en développement. Risque réglementaire et de réputation pour Anthropic si des secrets confirmés sont exploités. Les entreprises utilisatrices de Claude Code doivent auditer leurs dépôts et effectuer une rotation immédiate de leurs credentials.