Claude Code で Bash コマンドに「Yes, and don't ask again」と答えると、許可ルールが .claude/settings.local.json に保存されます。このルールはコマンドの文字列そのものなので、コマンドにパスワードや API キーが含まれていれば、それもファイルに残ります。Anthropic のドキュメントも、このオプションがローカル設定ファイルに許可ルールを保存することを認めています。
Apiiro の研究者 Shmulik Cohen 氏と Matan Giladi 氏は2026年11月5日、公開 GitHub の調査結果（11月1〜3日に収集）を公表しました。公開されている同ファイル104,185件のうち1,122件に1,379件の秘密情報があり、データベースのパスワード379件、Supabase の service-role キー122件、SSH 認証情報43件（sshpass コマンド内の root ログインを含む）、AWS キー23件、秘密鍵6件などが含まれていました。Git 履歴、共有設定、エージェントのトランスクリプトまで含めると、1,994リポジトリで計2,539件に上り、うち734件は過去のバージョンにだけ残っていました。
漏れる理由：Claude Code はリポジトリ内で初めてこのファイルを作るとき、開発者のグローバルな Git の除外設定に追加します。しかしこの保護はそのマシンだけのもので、プロジェクトには引き継がれません。また、すでに Git で追跡されているファイルには除外ルールが効きません。秘密情報スキャナーも多くを見逃しており、TruffleHog が検出したのは1,122件中643件、gitleaks は564件で、215件はどちらも検出できませんでした。PGPASSWORD=、sshpass -p、mysql -p の後のパスワードには識別しやすい接頭辞がないためです。
確認済みの点と未確認の点：Apiiro は認証情報を実際には試していないため、数字は「露出」を示すもので、侵害を示すものではありません。同社は11月2〜3日に影響を受けた組織へ通知し、1組織が漏れたキーが有効だったと認めました。Apiiro はセキュリティ製品を販売しており、集計は第三者による再現がされていませんが、セキュリティ企業 ironPeak も2026年2月に同じ問題を報告しています。承認済みコマンドの秘密情報が平文で保存される問題を指摘した Claude Code の GitHub issue（2025年8月作成）は、2026年1月に非アクティブとして自動クローズされました。Anthropic の声明や製品の変更は報じられていません。
