Το πιο βολικό κουμπί στον Κώδικα Claude της Anthropic — «Ναι, και μην ρωτάς ξανά» — έχει μετατραπεί αθόρυβα σε μηχάνημα διαρροής διαπιστευτηρίων, σύμφωνα με νέα έρευνα από την εταιρεία ασφάλειας εφαρμογών Apiiro. Όταν οι προγραμματιστές εγκρίνουν μια εντολή που περιέχει ένα μυστικό, ο Claude Code αποθηκεύει αυτήν ακριβώς την εντολή, συμπεριλαμβανομένου του μυστικού, σε ένα αρχείο τοπικών ρυθμίσεων που συχνά καταλήγει να δεσμεύεται σε δημόσια αποθετήρια GitHub. Η σάρωση του Apiiro βρήκε 2.539 πραγματικά μυστικά σε 1.994 δημόσια αποθετήρια: κωδικούς πρόσβασης βάσης δεδομένων, κλειδιά API cloud, διακριτικά και συνδέσεις ρίζας SSH, διασκορπισμένα σε 63 οργανισμούς, οι περισσότεροι από τους οποίους εταιρείες λογισμικού. Μια επηρεαζόμενη εταιρεία επιβεβαίωσε στους ερευνητές ότι ένα εκτεθειμένο κλειδί ήταν ζωντανό. Είναι το δεύτερο περιστατικό απορρήτου Claude Code αυτόν τον μήνα, μετά την [αποκάλυψη των email των χρηστών σε ιστότοπους] (https://aibuzzwire.news/en/article/claude-code-leaked-user-emails-user-agent-header-spam-wave) του εργαλείου μέσω της υποδομής παραγωγής κεφαλίδων χρήστη-πράκτορα — και όχι μόνο με ένα άγγιγμα των κεφαλίδων επαφών. Ακολουθούμε στενά την ασφάλεια του παράγοντα κωδικοποίησης AI στην [κάλυψη εργαλείων AI] (https://aibuzzwire.news).

Πώς ένας κανόνας άδειας γίνεται διαρροή

Ο μηχανισμός είναι μια παρενέργεια του συστήματος αδειών του Claude Code, το οποίο ζητά έγκριση πριν εκτελέσει εντολές φλοιού — συχνά πολλές φορές ανά περίοδο λειτουργίας. Ζητήστε από τον πράκτορα να διορθώσει μια σύνδεση βάσης δεδομένων ή να καλέσει ένα εσωτερικό API και η εντολή που προτείνει φέρει όποια διαπιστευτήρια απαιτεί αυτή η εργασία, επειδή δεν μπορεί να λειτουργήσει χωρίς αυτά.

Επιλέξτε "Ναι, και να μην ρωτήσω ξανά" και ο Claude Code εκτελεί την εντολή και γράφει έναν κανόνα άδειας στο `.claude/settings.local.json` μέσα στο φάκελο του έργου. Ο κανόνας δεν είναι αφηρημένος: είναι η ίδια η πλήρης συμβολοσειρά εντολών, ο κωδικός που πληκτρολογείται σε απλό κείμενο και όλα.

Το αρχείο έχει σχεδιαστεί για να παραμένει στο μηχάνημα του προγραμματιστή και ο Claude Code προσπαθεί να το προστατεύσει — προσθέτοντάς το στη λίστα παράβλεψης global git του προγραμματιστή. Αυτό καλύπτει την κοινή περίπτωση, αλλά όχι τις ακραίες περιπτώσεις: έναν φάκελο που γίνεται αποθετήριο αργότερα, έναν κλώνο σε άλλο μηχάνημα όπου η καθολική παράβλεψη δεν υπάρχει ή ένα αρχείο που διέπραξε κάποιος πριν από την προσθήκη της καταχώρησης παράβλεψης. Το σημαντικό είναι ότι ο κανόνας δεν προσγειώνεται ποτέ στο «.gitignore» του ίδιου του αποθετηρίου, επομένως καμία προστασία δεν συνοδεύεται από το έργο.

Επιδεινώνοντας το πρόβλημα, ο Claude Code συχνά δεσμεύει το ίδιο το αρχείο. Σε 539 από τα 1.105 αποθετήρια όπου ο Apiiro εντόπισε ένα πραγματικό μυστικό, μια δέσμευση που συντάχθηκε από τον Claude είχε αλλάξει το αρχείο ρυθμίσεων — δεσμεύει ότι τα μοντέλα ονομάτων κυμαίνονται από το Sonnet 4.5 έως το Opus 5.5. Ο Apiiro σημειώνει ότι η συμπεριφορά είναι δική του Claude Code, όχι του μοντέλου: η εταιρεία την αναπαρήγαγε τόσο με το Opus 5.5 όσο και με το Fable 5.1.

Η κλίμακα της έκθεσης

Το Apiiro μέτρησε 104.185 δημόσια αντίγραφα του «.claude/settings.local.json» στο GitHub. Από αυτά, τα 1.122 περιέχουν τουλάχιστον ένα πραγματικό μυστικό. Οι ερευνητές βρήκαν 1.160 ακόμη μυστικά που κρύβονται στο ιστορικό git του αποθετηρίου, στα κοινόχρηστα αρχεία «settings.json» που οι ομάδες διαπράττουν σκόπιμα και σε αποθηκευμένες μεταγραφές συνομιλίας πρακτόρων που ελέγχονται σε repos.

Τα παραδείγματα των εγγράφων του Apiiro διαβάζονται σαν μια λίστα ελέγχου χειρότερων πρακτικών. Ένας προμηθευτής βάσης δεδομένων εξέθεσε το δικό του κλειδί cloud API σε επίπεδο διαχειριστή — με πρόσβαση διαχείρισης και χωρίς λήξη — μαζί με τον κεντρικό υπολογιστή του συμπλέγματος. Μια startup B2B διέρρευσε έναν κωδικό πρόσβασης παραγωγής Azure Postgres. Μια εταιρεία λογισμικού εξέθεσε ένα διακριτικό πρόσβασης παραγωγής Square. Μια εταιρεία υπηρεσιών πληροφορικής που κατασκεύαζε μια εφαρμογή ιατρικών αρχείων διέρρευσε τον κωδικό πρόσβασης ιδιοκτήτη αυτής της βάσης δεδομένων. Τα έργα ανοιχτού κώδικα δεν τα πήγαν καλύτερα: ένα με περισσότερα από 1.000 αστέρια δημοσίευσε ένα κλειδί API με μορφή OpenAI και ένα άλλο ένα διακριτικό npm.

Το πλαίσιο ασφαλείας κάνει το εύρημα χειρότερο. Το κακόβουλο λογισμικό κλοπής διαπιστευτηρίων σαρώνει ήδη μαζικά μηχανήματα προγραμματιστών — ο Apiiro δείχνει τον ιό τύπου worm Shai-Hulud npm, ο οποίος έτρεχε τον σαρωτή TruffleHog πάνω από τα αρχεία των θυμάτων. Αυτός ο ίδιος σαρωτής θα επισημάνει 643 από τα 1.122 αρχεία που διέρρευσαν ο Apiiro. Πιο ανησυχητικό είναι το υπόλειμμα: ένα στα πέντε από τα αρχεία που διέρρευσαν επισημαίνεται ούτε από το TruffleHog ούτε από gitleaks, συνήθως επειδή το μυστικό είναι ένας κωδικός πρόσβασης που πληκτρολογείται μέσα σε μια εντολή και όχι ένα κλειδί σε μια αναγνωρίσιμη μορφή διακριτικού. Οι μυστικοί σαρωτές, με άλλα λόγια, είναι δομικά τυφλοί σε αυτήν την κατηγορία διαρροών.

Τι πρέπει να κάνουν οι επηρεαζόμενες ομάδες

Η καθοδήγηση αποκατάστασης του Apiiro ξεκινά με την οριοθέτηση της ακτίνας έκρηξης. Αναζητήστε τον οργανισμό σας στο GitHub για «.claude/settings.local.json» και «.claude/settings.json» — κάθε επίσκεψη είναι ένα αρχείο που μπορεί να διαβάσει ο καθένας αυτήν τη στιγμή. Ελέγξτε το ιστορικό git κάθε αποθετηρίου για το αρχείο, ακόμα κι αν έχει διαγραφεί, επειδή κάθε fork και κλώνος διατηρεί ό,τι περιέχει το ιστορικό. Στη συνέχεια, ελέγξτε τα τοπικά αντίγραφα σε κάθε μηχάνημα προγραμματιστή: κάθε καταχώρηση στη λίστα επιτρεπόμενων είναι μια εντολή που έχει εγκρίνει κάποιος, με ό,τι πληκτρολογήθηκε σε αυτήν.

Οι παραγγελίες της εταιρείας έχουν σημασία: εναλλαγή πρώτη, καθαρισμός δεύτερη. Η διαγραφή ενός αρχείου από ένα αποθετήριο δεν κάνει τίποτα για τα διαπιστευτήρια που ήταν ήδη δημόσια και το ιστορικό git διατηρεί τα εκτεθειμένα μυστικά ζωντανά επ' αόριστον.

Ένα μοτίβο, όχι ένα εφάπαξ

Για την Anthropic, το εύρημα προσγειώθηκε μια εβδομάδα αφότου ο Claude Code συνελήφθη να διαρρέει διευθύνσεις email χρηστών σε κάθε ιστότοπο που επισκέφτηκε μέσω των κεφαλίδων User-Agent - ένα σφάλμα που διορθώθηκε με την αποστολή μιας τροποποίησης απορρήτου, την οποία οι επικριτές ονόμασαν band-aid. Τα δύο περιστατικά μοιράζονται μια βασική αιτία: έναν πράκτορα που χειρίζεται ισχυρό περιβάλλον — διαπιστευτήρια, στοιχεία επικοινωνίας, εσωτερικά ονόματα κεντρικού υπολογιστή — και λαμβάνει προεπιλεγμένες αποφάσεις σχετικά με το πού ταξιδεύει αυτό το πλαίσιο.

Το μάθημα γενικεύεται πέρα ​​από τον Κώδικα Claude. Καθώς οι πράκτορες κωδικοποίησης γίνονται βασικός εξοπλισμός, τα αρχεία που γράφουν για να οργανωθούν γίνονται μια νέα, μη σαρωμένη γωνιά της αλυσίδας εφοδιασμού λογισμικού. Οι αριθμοί του Apiiro υποδηλώνουν ότι η γωνία έχει ήδη διαρροή σε μια κλίμακα που οι περισσότεροι οργανισμοί δεν έχουν αρχίσει να μετρούν.

Μείνετε μπροστά από την τεχνητή νοημοσύνη

Τα εργαλεία τεχνητής νοημοσύνης αποστέλλονται γρηγορότερα από ό,τι μπορούν να συμβαδίσουν οι αξιολογήσεις ασφαλείας τους. Ακολουθήστε κάθε εξέλιξη στην [κάλυψη ειδήσεων AI] (https://aibuzzwire.news).

Διαβάστε περισσότερα νέα AI →