# 编码智能体的「别再问我」按钮把密钥写进了仓库：Apiiro 在 1,122 个公开副本里找到 1,379 个明文凭据
- 事件 ID：evt-20261108-03
- 日期：2026-11-08　截至：2026-11-08 08:15（北京时间）
- 证据等级：企业宣称、媒体报道
- 来自：https://www.newtoken.link/daily/2026-11-08#evt-20261108-03
为什么重要：前两期写的是智能体怎么「找漏洞」，本期是智能体自己「造漏洞」。问题不在模型能力，而在交互设计：为了少弹确认框而提供的便捷选项，把一次性授权变成了长期明文记录，再被智能体自己提交进仓库。这类风险传统扫描器抓不全，所以「非人类身份」与智能体凭据管理正在变成单独的采购预算：Clutch 不到两年估值从 8500 万美元到洽谈价 5 亿美元，就是信号。反方检验：Apiiro 未验证这些凭据是否仍有效，仅一家公司确认密钥当时可用；1.1% 的含密比例说明大多数用户没有踩坑；Anthropic 尚未公开回应。我的立场是：编码智能体的权限设计应默认只记录模式而不是整条命令，这会成为企业采购清单上的硬条款。
## 来源（4 条）
- [Apiiro：Coding Agents Are Leaking Your Secrets to GitHub](https://apiiro.com/blog/coding-agents-leaking-secrets-github-dont-ask-again)（企业宣称）
- [The Hacker News：Claude Code's "Don't Ask Again" File Exposes Passwords and Keys](https://thehackernews.com/2026/11/claude-codes-dont-ask-again-file.html)（媒体报道）
- [TechCrunch：Palo Alto Networks in talks to buy Clutch for $500M](https://techcrunch.com/2026/11/05/palo-alto-networks-in-talks-to-buy-ai-agent-security-startup-clutch-for-500m/)（媒体报道）
- [OpenAI：Partnering with Hacktron](https://openai.com/index/partnering-with-hacktron)（企业宣称）