클로드 코드 1122개 설정 파일서 인증정보 1379개 확인

본문

조사 범위를 Git 기록과 공유 설정·대화 기록까지 넓히자 공개 저장소 1994곳에서 인증정보 2539개가 집계됐다. 앤트로픽(Anthropic)의 코딩 도구 클로드 코드(Claude Code) 설정 파일 1122개에서 인증정보 1379개가 발견됐다. 개발자가 실행을 승인한 명령이 설정 파일에 저장된 뒤 공개 깃허브(GitHub) 저장소에 올라간 사례다. Apiiro는 5일 공개한 조사 보고서에서 공개 저장소 10만3617곳의 설정 파일 10만4185개를 살펴봤다고 밝혔다. 조사 기간은 11월 1~3일이며, 파일 1122개(1.1%)에서 인증정보가 분류됐다. 사용자가 ‘동의하고 다시 묻지 않기’를 선택하면 클로드 코드는 승인한 명령을 프로젝트의 .claude/settings.local.json에 허용 규칙으로 저장하며, 명령에 비밀번호나 API 키가 들어 있으면 값도 함께 남을 수 있다.

클로드 코드 설정 문서는 이 파일이 프로젝트에서 사용자 개인에게만 적용되는 로컬 설정이라고 설명한다.

집계 범위를 공유 설정 파일과 에이전트 대화 기록, 인계 메모 등으로 넓히면 공개 저장소 1994곳에서 인증정보 2539개가 확인됐다. 처음 조사한 파일 1122개, 과거 기록에서 찾은 인증정보 734개, 전체 저장소 1994곳은 서로 다른 지표다. gitleaks는 인증정보가 든 설정 파일 1122개 중 564개를, TruffleHog는 643개를 탐지했으며 두 도구 모두 표시하지 못한 파일은 215개였다. 보리스 체르니(Boris Cherny) 클로드 코드 책임자는 7일 해커뉴스(Hacker News) 댓글에서 “이런 일을 막기 위해 무엇을 할 수 있을지 살펴보고 있다”고 말했다. 조사 결과 추적이 가능했던 인증정보 포함 저장소 1105곳 중 539곳에서는 클로드가 공동 작성자로 표시된 커밋이 해당 설정 파일을 수정했다.