数据从哪来、怎么读
@v_sheikin 在一条盘点「AI 写的应用怎么把东西漏出去」的帖子里提到：Claude Code 共同署名的提交，泄露密钥的比例是 3.2%，而基线是 1.5%。 这个数字出自 GitGuardian 的《State of Secrets Sprawl 2026》报告，统计的是 2025 年公开 GitHub 上的提交。
报告里还有几个读这组数字时必须一起看的点：
- 2025 年全年，带有 Claude Code「Co-Authored」署名的提交只占扫描总量的 0.4%，却占了泄露的 0.9%；
- 泄露率在 7、8 月达到高峰，之后一路下降，到 12 月已经和人工提交的基线基本持平，报告认为这和 9 月底的新模型发布时间吻合；
- 报告特别强调：提交最终是人点的。有人忽略了警告，或者主动让模型把密钥写进代码；另外，AI 辅助的提交平均改动行数更多，一次提交里藏一把 Key 也更难被看到。
所以这组数据的意思不是「别用 Claude Code」，而是：改动越大、越快，越需要一道自动检查。
推送前加的检查
- 本地提交前扫描。 给仓库装一个 pre-commit 密钥扫描钩子（例如 gitleaks、ggshield 这类工具），检测到疑似 Key 就拦下提交。服务器端的推送保护是最后一道，不要只靠它。
- 大提交拆开审。 让 Claude Code 把大改动拆成几次小提交；提交前自己看一遍
git diff --staged，重点看配置文件、测试数据和示例代码。 - 不要让模型「先写死 Key 跑通再说」。 Key 从环境变量或密钥管理工具读；示例里用明显的占位符。
- 配合读取限制。 在 Claude Code 的权限配置里禁止读取
.env和密钥目录，从源头减少它把真实值写进文件的机会。 - 漏了就吊销，不只是删提交。 公开仓库里出现过的 Key，即使改写了历史，也要到对应平台吊销并新建。
如果你想把 Claude Code 放在一台常开、整机独享的新加坡 Mac mini 上长期运行，可以了解 Zumac.Ai，咨询 Telegram @singatao。
