Pulsar “Sí, y no vuelvas a preguntar” en Claude Code parecía inofensivo. Ha acabado filtrando miles de contraseñas en GitHub

Si en algo son característicos los modelos de IA generativa es en su persistencia preguntando. Porque no pueden terminar una intervención sin decirte: "¿Quieres que haga algo más?". Lo llevan en su ADN, los LLM son sistemas predictivos que necesitan seguir adelante. Las herramientas actuales permiten restringir ese comportamiento, aunque el resultado podría no ser el que se espera.

El problema. Claude Code puede funcionar en modo automático, aunque siempre va a preguntarle al usuario cómo continuar si necesita tomar una decisión que sea trascendente. Para ser menos pesado, la aplicación incluye un selector de "Sí, y no vuelvas a preguntar", la típica opción que marcas cuando eliminas una carpeta y resulta que tiene demasiadas cosas dentro. "Sí a todo" y que pase lo que tenga que pasar.

En el caso de Claude Code, marcar la casilla de no volver a preguntar implicaba que el comando aprobado se guardaba tal cual, con las contraseñas que llevase escritas, en un archivo que podía acabar en el código elaborado por la IA. Como descubrieron en Apiiro, así se filtraban contraseñas de bases de datos, el login de los servidores SSH del usuario, claves privadas y hasta tokens de GitHub y claves de AWS.

Acceso público a datos sensibles. Imagina el alcance de la filtración: cualquiera que encontrase esos datos, como una clave API privada, podría acarrearle al desarrollador un importante agujero en la cuenta bancaria. Y la información estaba al alcance de cualquiera: en los propios repositorios públicos de GitHub.

Para recordar un permiso, Claude Code anota el comando literal en un archivo del proyecto, '.claude/settings.local.json'. Si el comando incluía una contraseña, esta se guardaba en texto plano. Dicho archivo no está pensado para compartirse, pero esto manda en el equipo del desarrollador, no en el repositorio. Si el archivo ya estaba subido previamente, o en el proyecto hay otro ordenador colaborando, el contenido viaja a GitHub junto con el resto del código.

El peligro del vibecoding. El comportamiento de Claude Code tiene sentido: para no molestar al usuario, y dado que ya tiene su permiso, guarda el comando exacto para reconocerlo la próxima vez. Si el desarrollador no supervisa lo que está subiendo, y manda directamente los archivos a GitHub, termina compartiendo un acceso a su propia información.

No es algo casual: el vibecoding ha elevado con creces el uso de GitHub. Según el informe Octoverse 2026 de GitHub, en los doce meses previos al 30 de septiembre se registraron 17.900 millones de pushes y 34.300 millones de commits. Esa cifra de pushes supera a la de 2024 y 2025 juntos. Y hay otro dato que demuestra el peso del vibecoding en GitHub: en septiembre de este año, más del 40% de las pull requests tenían como origen un agente IA. En marzo era el 17%.

¿Qué dice Anthropic? La empresa no publicó un comunicado, pero Boris Cherny, responsable de Claude Code, respondió en Hacker News. Admitió que la herramienta nunca ha limpiado los secretos de lo que guarda y defendió que el archivo está pensado para quedarse en local: como Claude Code lo excluye de Git al crearlo, sostiene que los archivos filtrados se crearon a mano y se subieron después.

Mientras Antropic encuentra una solución definitiva, Cherny recomienda usar el modo automático en Claude Code y activar el escaneo de secretos en el repositorio. También adelantó que el equipo está probando dos mejoras: que el modo automático detecte el filtrado de datos y un escáner básico de secretos integrado. No hay fecha para ninguno de estos dos cambios.

Imagen de portada | Iván Linares editada

En Xataka | Claude ya puede decirte en qué se te va el dinero del banco. Lo que no puede es tocar ni un euro