Claude Code làm lộ mật khẩu và API key lên GitHub công khai: 1.122 repo dính, đội dev rà ngay trong 24 giờ

Công ty an ninh Apiiro vừa công bố: 1.122 bản sao công khai của file .claude/settings.local.json — file cài đặt mà trợ lý lập trình Claude Code của Anthropic tự ghi — đang chứa ít nhất một bí mật thật: mật khẩu cơ sở dữ liệu, khóa AWS, token GitHub, thông tin đăng nhập SSH. Tính cả lịch sử git và các file liên quan, tổng cộng 2.539 bí mật nằm trong 1.994 repo công khai, trong đó ít nhất một khóa đã được xác nhận vẫn còn dùng được. Đây không phải một lỗ hổng bị khai thác — mà là hành vi mặc định của công cụ, đã được người dùng báo từ tháng 8/2025 nhưng tới nay vẫn chưa sửa.

Claude Code lộ mật khẩu GitHub: chuyện gì xảy ra

Claude Code hỏi ý kiến trước khi chạy hầu hết lệnh shell. Nếu người dùng chọn "Yes, and don't ask again" (đồng ý và đừng hỏi lại), công cụ lưu đúng nguyên văn lệnh đó làm quy tắc cho phép trong file .claude/settings.local.json ở gốc dự án. Khi lệnh được duyệt chứa mật khẩu hoặc token — ví dụ PGPASSWORD=... — bí mật nằm nguyên trong file, ở dạng text thường.

Vấn đề là file này đi theo dự án mà không được bảo vệ. Claude Code chỉ thêm file vào danh sách loại trừ toàn cục của git trên máy từng người dùng — biện pháp này không đi theo repo, và công cụ không bao giờ thêm file vào .gitignore của dự án. Trong 1.105 repo được truy vết, 539 repo có một commit ghi Claude làm đồng tác giả đã thay đổi file này — chính Claude thường tự commit file chứa bí mật.

Apiiro quét GitHub công khai và đếm được 104.185 bản sao của file trong 103.617 repo; 1.122 bản sao trong số đó chứa ít nhất một bí mật, tổng cộng 1.379 bí mật. Thành phần: 379 mật khẩu cơ sở dữ liệu, 122 khóa service-role Supabase, 43 thông tin đăng nhập SSH, 42 token GitHub, GitLab và npm, 23 khóa AWS và 6 khóa riêng tư. Trong số chủ sở hữu có 63 tổ chức; trường hợp nặng nhất gồm khóa cloud cấp quản trị của chính một hãng cơ sở dữ liệu và mật khẩu chủ sở hữu của một cơ sở dữ liệu hồ sơ y tế.

Thời gian phơi nhiễm làm mọi chuyện nghiêm trọng hơn: tính đến ngày 02/11, mọi file chứa bí mật vẫn nằm trên nhánh mặc định, một nửa đã ở đó ít nhất 217 ngày. Xóa file cũng không xong — các phiên bản cũ còn chứa thêm 734 bí mật trong 509 repo, và 211 fork của 74 repo mang theo đúng những bí mật đó. Máy quét cũng không bắt được hết: gitleaks gắn cờ 564 trong 1.122 file, TruffleHog gắn cờ 643 file, và 215 file lọt qua cả hai. Phía Anthropic chưa phản hồi: báo lỗi gửi từ 11/08/2025 đã bị bot tự động đóng ngày 03/01/2026 với lý do "not planned", và cả bốn báo cáo liên quan đều đã bị cùng một bot đóng.

Claude Code lộ mật khẩu GitHub: ai bị ảnh hưởng

Mọi đội đang dùng Claude Code và đưa code lên GitHub đều nên tự kiểm tra — trước hết là các repo công khai, nơi bất kỳ ai cũng đọc được file. Repo riêng cũng không hoàn toàn an toàn: file này có thể lọt vào package npm, image Docker, file zip hay thư mục đồng bộ mà đội không để ý.

Với đội dev Việt Nam, rủi ro rất cụ thể: Claude Code đang được dùng rộng rãi để viết code, chạy lệnh cơ sở dữ liệu và vận hành hạ tầng, nhiều đội còn để AI tự commit code. Bí mật dễ lộ nhất lại là loại nguy hiểm nhất — hơn một phần ba số bí mật mở thẳng vào cơ sở dữ liệu. Phạm vi cũng rộng hơn một công cụ: Apiiro khuyến nghị coi mọi thư mục của agent — .claude/, .cursor/, .gemini/, .specstory/ — như nơi chứa bí mật, tương tự file .env. Đây không còn là nguy cơ lý thuyết: sâu Shai-Hulud hồi tháng 9/2025 đã chạy TruffleHog trên các máy bị nhiễm và gắn cờ hơn một nửa số file quét được là chứa bí mật.

Claude Code lộ mật khẩu GitHub: mức độ

Vụ này không có mã CVE, không có điểm CVSS và không có bản vá để chờ — mức độ nghiêm trọng nằm ở chỗ bí mật đã công khai, có thể đã bị thu thập từ lâu, và việc dọn dẹp phải bắt đầu bằng xoay khóa chứ không phải xóa file. Một khóa đã được xác nhận vẫn còn sống.

Điểm khác biệt lớn nhất so với các vụ rò rỉ thông thường: đây là hành vi mặc định của công cụ, không phải lỗi cấu hình của một cá nhân. Chừng nào hành vi chưa đổi, số repo dính sẽ còn tăng. Trong 16 công cụ lập trình bằng AI mà Apiiro đối chiếu, Claude Code là công cụ duy nhất được xác nhận lưu toàn bộ lệnh đã duyệt vào file dự án theo mặc định.

Làm gì trong 24 giờ

• Tìm file trong toàn bộ tổ chức GitHub ngay hôm nay: .claude/settings.local.json và .claude/settings.json trong mọi repo, kể cả lịch sử git của repo đã xóa file, fork và repo đã archive.
• Xoay khóa TRƯỚC, dọn file sau: đổi mọi mật khẩu, token và khóa mà file từng chứa, rồi mới dọn dẹp. Xóa file trước khi xoay khóa chỉ khiến đội tưởng đã an toàn trong khi bí mật vẫn nằm trong lịch sử git và fork.
• Ngừng theo dõi file và chặn commit lại: chạy git rm --cached .claude/settings.local.json rồi thêm file vào .gitignore của repo — làm tương tự cho mọi repo, kể cả repo mẫu và template.
• Mở file trên máy của từng dev: kể cả khi file chưa từng được commit, mở và xóa mọi quy tắc chứa bí mật. File trên laptop cũng là một bản sao của bí mật.
• Đưa bí mật ra khỏi lệnh, duyệt theo mẫu: tham chiếu bí mật qua biến từ trình quản lý bí mật — ví dụ $DB_URL — để quy tắc đã lưu chỉ giữ tên biến, không giữ bí mật. Phê duyệt dạng mẫu như Bash(npm run:*) thay vì từng lệnh cụ thể chứa tham số nhạy cảm.
• Siết ở tầng tổ chức: đưa các thư mục agent vào quét bí mật ở pre-commit và CI, quét cả lịch sử git; thêm .claude/settings.local.json vào mẫu .gitignore của tổ chức; ưu tiên kiểm tra trước các bí mật đi kèm địa chỉ máy chủ công khai. Đồng thời rà package npm, image Docker và file zip phát hành gần đây.

Trợ lý AI đang viết lệnh thay dev — và đang ghi lại cả mật khẩu đi kèm lệnh. Một cú bấm "đừng hỏi lại" tiện lợi hôm nay có thể thành một khóa cloud nằm công khai suốt bảy tháng. Rà repo ngay hôm nay: tìm file, xoay khóa trước, dọn sau.

Cần đội kỹ thuật hỗ trợ rà soát và xử lý hệ thống? Liên hệ SunCloud qua hotline 083 979 3434 hoặc email sales@suncloud.vn. Tham khảo thêm dịch vụ VPS của SunCloud cho nhu cầu hạ tầng của doanh nghiệp.

Nguồn tham khảo

• The Hacker News, "Claude Code's 'Don't Ask Again' File Exposes Passwords and Keys in 1,122 Public Copies on GitHub" (07/11/2026): https://thehackernews.com/2026/11/claude-codes-dont-ask-again-file.html
• Apiiro, "Coding Agents Are Leaking Your Secrets to GitHub" (05/11/2026): https://apiiro.com/blog/coding-agents-leaking-secrets-github-dont-ask-again

Bài viết liên quan

• Dịch vụ VPS SunCloud
• Quản lý secret với Vault: đừng hardcode password trong code nữa
• Lỗ hổng SonicWall giúp vượt qua MFA trên SSL-VPN đang bị khai thác thật — vá ngay trong 24 giờ

Bài viết liên quan

• Cho thuê máy chủ ảo - Bảng giá dịch vụ đám mây chi tiết