클로드 코드 '다시 묻지 않음'에 비밀값 2,539개 노출

앤트로픽의 AI 코딩 에이전트 '클로드 코드(Claude Code)'에서 개발자가 승인한 명령어 속 비밀번호·API 키가 공개 깃허브 저장소에 노출돼 있다는 분석이 나왔다. 보안 기업 에이피로(Apiiro)는 11월 5일(현지시간) 공개한 연구에서 '예, 다시 묻지 않음(Yes, and don't ask again)' 옵션이 승인한 셸 명령을 비밀값까지 그대로 저장한다고 밝혔다.

에이피로 연구원 슈물릭 코헨과 마탄 길라디는 공개 저장소 1,994곳에서 서로 다른 비밀값 2,539개를 찾아냈다. 7일 더해커뉴스와 아이티와이어(iTWire)가 이를 보도했다.

핵심 정리

• 공개된 .claude/settings.local.json 파일 10만4,185개 가운데 1,122개(약 1.1%)에서 비밀값이 1개 이상 발견됐다.
• 노출된 값에는 데이터베이스 비밀번호 379개, SSH 로그인 정보 43개, 깃허브·깃랩·npm 토큰 42개, AWS 키 23개가 포함됐다.
• 에이피로는 작동 여부를 시험하지 않았지만, 통보받은 한 기업은 키가 유효했다고 확인했다.

클로드 코드 '다시 묻지 않음'이 비밀값을 남기는 방식

클로드 코드는 대부분의 셸 명령 실행 전 승인을 받는다. 앤트로픽의 권한 설정 문서에 따르면 배시(Bash) 명령에 '다시 묻지 않음'을 고르면 저장소 최상위의 .claude/settings.local.json에 허용 규칙이 저장되고, 이후 같은 명령은 묻지 않고 실행된다.

규칙이 패턴이 아니라 명령어 한 줄 그대로 저장되면 그 안의 비밀번호·토큰도 평문으로 남는다. 파일이 커밋·푸시되면 비밀값도 함께 공개된다.

앤트로픽의 설정 문서는 클로드 코드가 이 파일을 처음 쓸 때 사용자의 전역 git 제외 목록에 추가한다고 설명한다. 에이피로는 이 장치가 개발자 한 명의 컴퓨터에만 적용되고, 이미 git이 추적 중인 파일에는 효과가 없다고 지적했다.

깃허브에서 확인된 노출 규모

에이피로는 11월 1~3일 공개 깃허브 데이터를 수집했다. 비밀값이 든 파일 1,122개에는 서로 다른 값 1,379개가 있었고, 3분의 1 이상은 데이터베이스에 바로 접속할 수 있는 정보였다. 소유자 중 조직은 63곳이었다.

해당 파일의 절반은 저장소 기본 브랜치에 최소 217일 동안 올라 있었다. git 기록 속 옛 버전에서는 저장소 509곳에서 734개가 더 나왔고, 저장소 74곳의 포크 211개에도 같은 값이 남아 있었다.

전체 2,539개에는 공유 설정 파일 .claude/settings.json(7만6,011개 중 298개)과 에이전트 대화 기록도 포함됐다. 추적한 저장소 1,105곳 중 539곳에서는 클로드가 공동 작성자로 표기된 커밋이 이 파일을 바꿨다.

보안 스캐너도 상당수를 놓쳤다. 1,122개 중 깃리크스(gitleaks)는 564개, 트러플호그(TruffleHog)는 643개를 잡았고 215개는 둘 다 못 찾았다.

맥락: 1년여 전 버그 신고

이 동작은 이전에도 보고됐다. 2025년 8월 11일 등록된 클로드 코드 깃허브 이슈는 같은 문제를 신고했지만 활동이 없다며 '계획 없음(not planned)'으로 자동 종료됐다.

연구진은 관련 신고 4건이 모두 같은 봇에 의해 닫혔고 앤트로픽의 답변은 없었다고 밝혔다. 에이피로가 문서를 비교한 코딩 에이전트 16종 가운데 승인한 명령 전체를 기본으로 프로젝트 파일에 저장하는 것으로 확인된 것은 클로드 코드뿐이었다. 에이피로는 AI 코딩 에이전트 보안 제품을 판매한다.

전망: 개발자가 할 일

에이피로의 첫 권고는 '교체가 먼저'다. 파일을 지워도 git 기록과 포크에는 남으므로 담겼던 비밀번호·토큰·키를 모두 바꾼 뒤, git rm --cached로 추적을 끊고 .gitignore에 추가하라는 것이다.

비밀값은 변수로 참조하고, 명령 대신 패턴으로 승인하며, .claude/ 폴더도 검사 대상에 넣으라는 권고도 나왔다.

자주 묻는 질문

파일을 커밋한 적이 없으면 괜찮나?

로컬 파일에는 비밀값이 평문으로 남아 있다. 에이피로는 파일을 열어 비밀값이 든 규칙을 지우라고 권한다.

노출된 정보가 실제로 악용됐나?

에이피로는 자격 증명을 시험하지 않았고 악용 여부도 밝히지 않았다.

참고 자료

• Configure permissions - Claude Code Docs — 앤트로픽
• Settings files and precedence - Claude Code Docs — 앤트로픽
• [BUG] approved bash commands containing credentials are stored as is with plain text credentials in settings.local.json #5544 — 깃허브(2025년 8월 11일)
• Claude Code's "Don't Ask Again" File Exposes Passwords and Keys in 1,122 Public Copies on GitHub — The Hacker News(2026년 11월 7일)
• Claude Code approval files found exposing company secrets on GitHub, says Apirro researchers — iTWire(2026년 11월 7일)