Contraseñas guardadas en el PC expuestas en sitios públicos

Meta description: Una falla en Claude Code provocó que archivos con contraseñas y credenciales se subieran a GitHub; la investigación encontró 100 mil documentos públicos, mil con credenciales.

Una falla vinculada al asistente para programadores Claude Code, de Anthropic, provocó que contraseñas y credenciales se grabaran en archivos locales que terminaron expuestos en repositorios públicos de GitHub, según investigación divulgada por la empresa de seguridad Apiiro y reportada por la ANSA.

Qué ocurrió: falla en Claude Code y exposición de contraseñas

La Apiiro identificó que una función del asistente Claude Code, diseñada para facilitar el flujo de trabajo de los desarrolladores, almacenaba localmente la autorización del usuario para evitar confirmaciones repetidas. Según la ANSA, este mecanismo guardaba la decisión del usuario en un archivo en la computadora. Si el comando del programador contenía contraseñas, tokens o códigos de servicio, estos elementos también eran grabados en el mismo archivo, transformando credenciales sensibles en datos locales persistentes.

El hallazgo se difundió públicamente después de un análisis de Apiiro, que localizó miles de archivos que contenían información sensible y que habían quedado en repositorios visibles en GitHub, según informó la ANSA.

Cómo ocurrió la exposición: flujo local que terminó en subida pública

El problema proviene del siguiente flujo:

• Claude Code tiene una función para memorizar autorizaciones y evitar prompts repetidos.
• Esa memoria se escribe en archivos locales en el entorno del desarrollador.
• Cuando proyectos se mueven, copian o sincronizan —por ejemplo al clonar un repositorio en otro dispositivo o al reconfigurar un proyecto— estos archivos pueden ser incluidos en el upload.
• Si el repositorio es público, los archivos pasan a ser accesibles para cualquiera en GitHub.

Apiiro explicó que la presencia de credenciales en comandos o archivos de configuración hizo que contraseñas y tokens quedaran grabados junto a la autorización, elevando el riesgo de fuga al convertirse en parte del contenido sometido a repositorios públicos.

Impacto y magnitud del problema: más de 100 mil documentos, mil con credenciales

La investigación identificó que más de 100 mil documentos derivados de este comportamiento fueron cargados públicamente en GitHub. En más de 1.000 de esos casos, los archivos contenían efectivamente contraseñas, tokens o credenciales empresariales, según los datos recopilados por Apiiro y reportados por la ANSA.

Especialistas consultados por la noticia destacan que, una vez públicos, estos datos pueden persistir en forks y copias hechas por otros usuarios, permaneciendo accesibles incluso si el archivo original es eliminado más tarde del repositorio original. Esta dinámica aumenta la ventana de riesgo y complica la remediación completa del fuga.

Relevancia para brasileños y descendientes: riesgos para desarrolladores y empresas

Desarrolladores brasileños que usan asistentes de programación como Claude Code y plataformas de hospedaje de código como GitHub pueden estar expuestos si adoptan flujos que guardan autorizaciones y comandos localmente. Proyectos colaborativos, especialmente aquellos con historial de forks y clones, elevan la probabilidad de exposición de credenciales inadvertidamente.

Empresas brasileñas con repositorios públicos o prácticas de compartición de proyectos deben revisar:

• Políticas de almacenamiento de tokens y contraseñas;
• Uso de archivos de configuración que nunca deberían versionarse;
• Herramientas de escaneo y prevención de fuga de secretos antes del push a GitHub.

La verificación rutinaria de repositorios públicos y privados, además de la educación de desarrolladores sobre no incrustar secretos en comandos y configuraciones, son medidas recomendadas para mitigar el riesgo. Para contenido sobre tecnologías y la vida digital en Italia, lectores pueden seguir las secciones de Noticias de Italia y Vida en Italia del Raízes Italianas.

Qué deben hacer las empresas de seguridad y plataformas

Especialistas en seguridad sugieren que proveedores de asistentes de programación y plataformas de hospedaje implementen:

• Almacenamiento cifrado y seguro de autorizaciones, nunca en texto plano;
• Avisos automáticos antes de incluir archivos locales en commits;
• Escaneos pre-push que detecten tokens y contraseñas;
• Herramientas de rotación automática de credenciales cuando se identifica una fuga.

La Anthropic, desarrolladora de Claude Code, y GitHub no fueron citados con declaraciones directas en el informe de Apiiro citado por la ANSA; la noticia destacó sobre todo la identificación de los archivos públicos y la necesidad de correcciones en el flujo de almacenamiento.

Conclusión

La falla ligada a Claude Code muestra cómo decisiones de diseño en herramientas de desarrollo pueden provocar fugas de datos cuando artefactos locales se incluyen inadvertidamente en repositorios públicos. La investigación de Apiiro, relatada por la ANSA, identificó más de 100 mil archivos públicos, incluyendo más de mil con credenciales reales, reforzando la necesidad de prácticas de seguridad rigurosas por parte de desarrolladores y empresas.

Fuente: ANSA