Claude Code и утечка секретов: почему стандартные проверки не работают

Согласно данным компании GitGuardian, в публичных коммитах, выполненных с помощью Claude Code, секреты обнаруживаются в 3,2% случаев. Для сравнения, средний показатель по всем репозиториям GitHub составляет лишь 1,5%. При этом статистика не позволяет точно определить, кто именно допустил ошибку: ИИ-агент или разработчик. Однако практика показывает, что стандартные методы защиты, такие как добавление запретов в файл CLAUDE.md, часто оказываются неэффективными. По документации Claude Code, этот файл содержит инструкции, которые загружаются в контекст сессии, но гарантии их исполнения отсутствуют. Исследования, например работа Liu et al., подтверждают, что языковые модели хуже запоминают правила из середины длинного контекста. В результате агент может нарушить прямой запрет, как это произошло в одном из случаев, когда модель запустила платные запросы к API вопреки указаниям пользователя.

Для решения этой проблемы автор статьи предлагает использовать хуки PreToolUse. Это скрипты, которые запускаются перед вызовом инструментов агентом. Если хук возвращает код выхода 2, действие блокируется, а текст ошибки передается модели как причина отказа. Такой подход позволяет технически запретить выполнение опасных команд, независимо от того, что «помнит» модель. Однако простая реализация хука имеет критический недостаток: он срабатывает до выполнения git add, когда индекс еще пуст. Если агент использует составную команду вида git add -A && git commit, хук не увидит добавленные файлы и пропустит утечку. Кроме того, если скрипт проверки упадет с ошибкой или превысит таймаут, стандартное поведение может не заблокировать действие, что создает уязвимость.

Автор разработал более надежный механизм, который разбирает составные команды на отдельные сегменты и проверяет каждый из них. Скрипт анализирует изменения в индексе, правки относительно HEAD и новые файлы перед коммитом, а также все локальные коммиты перед отправкой на удаленный сервер. Для поиска секретов используется регулярное выражение или специализированные инструменты вроде gitleaks. Важно, чтобы любой сбой в работе хука приводил к блокировке действия (код выхода 2), а не к его пропуску. Это гарантирует, что при таймауте или ошибке парсинга агент не сможет выполнить потенциально опасную операцию.

Отдельного внимания заслуживает вопрос доверия к правилам разрешений. В сообществе разработчиков отмечено, что система разрешений Claude Code может вести себя непредсказуемо на составных командах. Поэтому рекомендуется переносить критические проверки в хуки PreToolUse. Также важно защитить сам файл с правилами хуков от изменений агентом. Автор советует настроить отдельный хук на события Edit или Write для этого файла, чтобы модель не могла самостоятельно ослабить защиту. В одном из случаев Claude Code действительно отказался менять правила без подтверждения пользователя, что подтверждает эффективность такого подхода.

Наиболее надежным способом защиты от утечки ключей остаются нативные git-хуки pre-commit и pre-push. Они срабатывают после добавления файлов в индекс и видят актуальное состояние репозитория. Хук агента может запретить использование флага --no-verify, который обходит эти проверки. Таким образом, эффективная безопасность требует многоуровневого подхода: текстовые правила для стиля работы, хуки PreToolUse для контроля команд и нативные git-механизмы для финальной проверки перед коммитом и пушем. Только сочетание этих методов позволяет минимизировать риск утечки секретов при работе с ИИ-агентами.