Claude Code「今後確認しない」設定、GitHubへ認証情報流出

Apiiroによれば、データベースのパスワード、SSHサーバーのログイン情報、秘密鍵、GitHubトークン、AWSキーが流出した。このファイルは共有を想定しておらず、本来は開発者のマシン上に留まる。ただ、すでにリポジトリへアップロードされていた場合や、別のコンピューターも同じプロジェクトで作業している場合は、他のコードとともにGitHubへ送られる。

背景にあるバイブコーディング

開発者がAI生成コードを確認せずGitHubへ送れば、自分の情報へのアクセスを公開することになりかねない。GitHubのOctoverse 2026によると、9月30日までの12カ月でプッシュは179億件、コミットは343億件。プッシュ数は2024年と2025年の合計を上回った。9月にはプルリクエストの40%超がAIエージェント由来で、3月の17%から増えている。

Anthropicの見解

同社は声明を出していないが、Claude Code責任者のBoris ChernyがHacker Newsで回答した。保存する内容から機密情報を除去してこなかった点は認めた。一方、このファイルはローカル専用で、作成時にGit管理から除外されるため、流出したファイルは手作業で作られ後からアップロードされたものだと主張している。

ChernyはClaude Codeの自動モードの利用と、リポジトリでのシークレットスキャンの有効化を勧めている。自動モードでの情報流出検知と、基本的なシークレットスキャナーの内蔵という2つの改善を試験中だが、時期は未定だ。