后续：逾 10 万份编程助手本地设置被传上网，约 1100 份含密钥

据 Ars Technica 周一（9 日）报道，安全研究公司阿皮罗发现，超过 10 万份 Claude Code 本地设置文件被上传到公开的代码托管平台 GitHub，其中约 1100 份来自 63 个组织，内含数据库口令、访问令牌或私钥等敏感信息。成因是用户选择「是，且不再询问」后，相关命令往往被原样写入本机克劳德本地设置文件，其中可能带有密钥。该文件通常被加入全球忽略列表，但仓库级设置未必同步，克隆或稍后把文件夹变成仓库时仍可能被公开；该文件有时也会在用户未操作的情况下被提交。相关缺陷早在 2025 年 8 月就有人提交缺陷报告，但在 60 天无进展后被关闭。上周末，Claude Code 负责人鲍里斯·切尔尼在论坛称团队正研究如何避免此事，并谈到可使用自动模式和密钥扫描工具；阿皮罗称在约 1100 份公开密钥中，仍有 215 份未被两款常见扫描工具标出。对普通开发者而言，一旦本地设置文件进入公开仓库，其中的口令和密钥就可能被他人取得。