Claude Code가 비밀번호를 평문으로 저장해, 공개 깃허브 파일 1,122개서 노출

한눈에 보기

Claude Code는 명령을 실행할 때 '다시 묻지 않기'를 고르면 비밀번호가 포함된 명령 전체를 프로젝트 안의 일반 텍스트 파일에 적어 둘 수 있어요. 보안 연구진은 누구나 볼 수 있는 깃허브 저장소에서 이런 비밀번호와 키를 수천 개 찾았어요. 파일을 지워도 기록에 남으므로 이미 노출된 값은 바꾸는 것이 가장 먼저 할 일이에요.

핵심만 콕콕

1. 1

   연구진은 공개 깃허브에서 해당 파일 사본 104,185개를 찾았고, 그중 1,122개에 비밀 정보가 하나 이상 들어 있었어요.

2. 2

   데이터베이스 비밀번호, SSH 로그인 정보, 깃허브 토큰, 아마존 클라우드 키 등이 확인됐어요.

3. 3

   일반 비밀 정보 탐지 도구는 비밀번호를 놓치는 경우가 많아, 215개 파일은 두 도구 모두 걸러내지 못했어요.

4. 4

   Claude Code는 파일을 버전 관리에서 제외하는 규칙을 추가하지만, 이미 올라간 파일과 다른 컴퓨터에는 효과가 없어요.

왜 중요할까요?

비밀번호가 공개되면 누구나 데이터베이스나 서버에 접속할 수 있어, 개인 프로젝트를 쓰는 사람에게도 실제 피해로 이어질 수 있어요.