Accueil / Sécurité et données

Lire suffit à exposer un secret

Une recherche de texte restitue le contenu d'un fichier de secrets qu'elle traverse, et une règle de refus Read(./.env) ne s'applique pas à une commande shell qui lit des fichiers sans jamais nommer celui-là.

Une recherche de texte lancée sur un dossier entier renvoie chaque ligne qui contient le motif cherché, précédée du nom du fichier d'où elle vient. Un fichier .env caché qui contient ce motif remonte avec les autres résultats, sans qu'aucune lecture de ce fichier n'ait été demandée.

Ce qu'une règle Read(./.env) couvre

Une règle de refus Read(./.env), posée dans les réglages de permission, sert à empêcher Claude de lire ce fichier. La documentation des permissions de Claude Code l'applique aux outils de fichier intégrés de Claude, aux commandes shell de fichier que Claude Code reconnaît, comme cat, head, tail, sed ou tee, et aux redirections : la cible d'une redirection d'entrée < fichier relève des règles Read, celle d'une redirection de sortie > fichier des règles Edit. La même page pose ensuite deux exclusions en toutes lettres : une commande qui lit des fichiers sans les nommer, avec l'exemple de grep -r pattern . lancé depuis le dossier qui contient le fichier, et un sous-processus qui ouvre lui-même ses fichiers, comme un script Python ou Node.

Deux outils de recherche, deux régimes

Le mot recherche recouvre deux choses. La commande shell grep -r, que Claude lance dans un terminal, sort de la portée de la règle, comme le dit l'exclusion ci-dessus. L'outil de recherche intégré de Claude, lui, est un outil de fichier : la documentation annonce qu'elle applique les règles Read aux outils intégrés qui lisent des fichiers, comme Grep et Glob, dans la mesure du possible, sans lister les cas où cette application échouerait.

La démonstration

Un dossier jetable porte un faux fichier .env, et une règle de refus dans le fichier de réglages du projet, .claude/settings.json.

mkdir -p demo-env && cd demo-env
mkdir -p .claude
printf '{"permissions":{"deny":["Read(./.env)"]}}\n' > .claude/settings.json
printf 'CLE_FACTICE=exemple-pas-une-vraie-cle\n' > .env
grep -r CLE .

./.env:CLE_FACTICE=exemple-pas-une-vraie-cle

Lancée dans votre propre terminal, cette recherche ne teste aucune règle : les règles de permission ne s'appliquent qu'aux actions de Claude. Elle montre ce que la commande remonte. Le test de la règle se fait en ouvrant Claude Code dans ce dossier et en lui demandant de lancer la même recherche : d'après l'exclusion documentée, la règle ne l'arrête pas, alors qu'une demande d'afficher le fichier par cat .env est refusée d'après la même page. Un fichier de réglages accepté au démarrage ne dit pas ce que la règle bloque : c'est cet essai qui le dit.

Pour un blocage imposé par le système d'exploitation à tous les processus, la documentation renvoie au bac à sable de Claude Code : une isolation qui restreint l'accès des commandes shell aux fichiers et au réseau, processus enfants compris. Les règles de refus Read sont fusionnées dans sa configuration. Il tourne sur macOS, Linux et WSL2, pas sous Windows natif. La leçon sur ce qu'un agent peut faire fuiter sans qu'on le lui demande montre d'où peut venir une demande de lecture que personne n'a tapée : une instruction cachée dans un contenu que Claude lit.