कभी फिर पूछें नहीं — आपने अपना पासवर्ड Git में लिख दिया Apiiro ने एजेंट अनुमोदन फ़ाइलों में 2,539 सीक्रेट्स खोजे। फ़ाइल को हटाने से यह समस्या नहीं ठीक होती। GitHub पर Claude Code की 104,185 सार्वजनिक प्रतियाँ .claude/settings.local.json पर मौजूद हैं। इनमें से 1,122, यानी लगभग 1.1%, कम से कम एक सीक्रेट रखते हैं। इन फ़ाइलों में कुल 1,379 अलग-अलग मान हैं। git हिस्ट्री, साझा सेटिंग्स और एजेंट ट्रांसक्रिप्ट्स को शामिल करते हुए, Apiiro ने 1,994 रिपॉजिटरीज़ में 2,539 अलग-अलग सीक्रेट्स पाए। ---------------------- तो किसने दोबारा पूछे जाने की सुविधा के लिए भुगतान किया? 👇 🔹वास्तव में क्या सहेजा जाता है🔹 Claude Code अधिकांश shell कमांड्स से पहले पूछता है। "हाँ, और फिर कभी पूछें नहीं" चुनें और यह .claude/settings.local.json में एक अनुमति नियम के रूप में सटीक कमांड सहेज सकता है। अगर उस कमांड में पासवर्ड, टोकन या कुंजी शामिल थी, तो नियम में वहीं सहेजी जाती है। सादे पाठ में। Apiiro ने Opus 5.5 और Fable 5.1 के साथ इसे पुनः बनाया। एक साधारण अनुमोदन, कोई jailbreak नहीं। 🔹क्यों स्थानीय फ़ाइल सार्वजनिक हो जाती है🔹 एक git रिपॉजिटरी के भीतर पहली बार लिखते समय, Claude Code उस फ़ाइल को डेवलपर के global git excludes में जोड़ सकता है। यह केवल एक मशीन पर मौजूद होता है। यह प्रोजेक्ट के साथ सफर नहीं करता, और पहले से tracked फ़ाइल को कवर नहीं करता। यह टूल कभी repo की .gitignore में ignore को नहीं लिखता। Apiiro द्वारा ट्रेस किए गए 1,105 में से 539 रिपॉजिटरीज़ में, Claude-सह-लेखित commit ने settings file को बदला। सीक्रेट-युक्त फ़ाइलों में से आधी कम से कम 217 दिनों से default branch पर मौजूद थीं। 🔹गिनती में क्या شामिल है, और क्या नहीं🔹 वर्तमान प्रतियों में: सीक्रेट्स का एक से अधिक तिहाई database को open करता है, 379 database पासवर्ड सहित। साथ ही 43 SSH logins public servers के। व्यापक 2,539 में पुराने versions (509 repos में 734 सीक्रेट्स, जो abhi live file में नहीं हैं), shared .claude/settings.json, और agent transcripts شामिल हैं। Apiiro ने credentials का प्रयास नहीं किया।एक सूचित कंपनी ने पुष्टि की कि उसका exposed key live हुआ। Exposure risk साबित है।यहाँ live breach का दावा नहीं किया गया है। 16 coding agents की documentation में compare किए जाने पर, Claude Code ही единственное подтверждённое средство, которое по умолчанию полностью одобренную команду записывает в файл проекта. 1,122 secret files में, TruffleHog ne 643, aur gitleaks ne 564 ko flag kiya. Dono ne 215 ko miss kiya.अधिकांश misses commands में passwords हैं। Scanner key formats को search karte hain. 🔹क्रियाशील सुझाव🔹 ▫️सफ़ाई से पहले rotate करें 📝 हर password, token aur key ko badal dein jo yeh file kabhi bhi rakhti thi. Current copy ko delete karna history, forks ya clones ko erase nahi karta. ▫️ignore ko repo में daal dein 📝 git rm --cached .claude/settings.local.json, phir ise project ki .gitignore mein add karein. ▫️सीक्रेट्स की jagah patterns approve karein 📝 Bash(npm run:*) style rules prefer karein। Credentials ko secrets manager se variables ke roop mein rakhein, na ki Claude ke store kiye gaye command mein literals ke roop mein. ▫️एजेंट folders ko .env ke tarah treat karein 📝 .claude/, .cursor/ aur .gemini/ secret scanning mein shamil hona chahiye, laptops ke saath-saath remotes par history ke saath bhi। अनुमोदन समय bachane ke liye tha। फ़ाइल ne password save kar diya। सुविधा compound hoti hai। और woh credential bhi jise kabhi config line hona hi nahi chahiye tha। जब aap AI coding agent par "don't ask again" tap karte hain, toh woh agle baar ke liye exactly kya yaad rakhta hai?