הכפתור הנוח ביותר בקוד קלוד של אנתרופיק - "כן, ואל תשאל שוב" - הפך בשקט למכונה דולפת אישורים, על פי מחקר חדש של חברת אבטחת היישומים Apiiro. כאשר מפתחים מאשרים פקודה המכילה סוד, קלוד קוד שומר את הפקודה המדויקת הזו, כולל הסוד, לקובץ הגדרות מקומי שבסופו של דבר בסופו של דבר מחויב למאגרים ציבוריים של GitHub. הסריקה של Apiiro מצאה 2,539 סודות אמיתיים ב-1,994 מאגרים ציבוריים: סיסמאות מסד נתונים, מפתחות API בענן, אסימונים וכניסות שורש SSH, הפרוסות על פני 63 ארגונים, רובם חברות תוכנה. חברה אחת שנפגעה אישרה לחוקרים שמפתח חשוף היה פעיל. זהו תקרית הפרטיות השנייה של קלוד קוד החודש, בעקבות חשיפה של הודעות דוא"ל של משתמשים לאתרי אינטרנט של הכלי באמצעות כותרות User-Agent - וזה נוגע בפרטי יצירת קשר, לא רק בתשתית הייצור. אנו עוקבים מקרוב אחר אבטחת סוכני קידוד AI ב[סיקור כלי AI] שלנו (https://aibuzzwire.news).

איך כלל הרשאה הופך לדליפה

המנגנון הוא תופעת לוואי של מערכת ההרשאות של קלוד קוד, המבקשת אישור לפני הפעלת פקודות מעטפת - לרוב מספר פעמים בכל סשן. בקש מהסוכן לנפות באגים בחיבור למסד נתונים או לקרוא ל-API פנימי, והפקודה שהוא מציע נושאת את כל האישורים שמשימה זו דורשת, כי היא לא יכולה לעבוד בלעדיהם.

בחר "כן, ואל תשאל שוב", וקלוד קוד מריץ את הפקודה וכותב כלל הרשאה ל-`.claude/settings.local.json` בתוך תיקיית הפרויקט. הכלל אינו הפשטה: זוהי מחרוזת הפקודה המלאה עצמה, הסיסמה המוקלדת בטקסט רגיל והכל.

הקובץ נועד להישאר במחשב של המפתח, וקלוד קוד אכן מנסה להגן עליו - על ידי הוספתו לרשימת ההתעלמות של git גלובלית של המפתח. זה מכסה את המקרה הנפוץ, אבל לא את מקרי הקצה: תיקייה שהופכת למאגר מאוחר יותר, שיבוט במחשב אחר שבו ההתעלמות הגלובלית לא קיימת, או קובץ שמישהו ביצע לפני הוספת ערך ההתעלמות. באופן מכריע, הכלל לעולם לא נוחת ב-`.gitignore` של המאגר עצמו, כך ששום הגנה לא נוסע עם הפרויקט.

מה שגורם לבעיה, קלוד קוד מבצע לעתים קרובות את הקובץ בעצמו. ב-539 מתוך 1,105 המאגרים שבהם אפיירו התחקה אחר סוד אמיתי, התחייבות שנכתבה על ידי קלוד שינתה את קובץ ההגדרות - מתחייבת לדגמי השם שנעים בין סונטה 4.5 לאופוס 5.5. Apiiro מציין שההתנהגות היא של קלוד קוד, לא של הדגם: החברה שיחזרה אותה עם אופוס 5.5 ו-Fable 5.1.

קנה המידה של החשיפה

Apiiro מנה 104,185 עותקים ציבוריים של `.claude/settings.local.json` ב-GitHub. מתוכם, 1,122 מכילים לפחות סוד אמיתי אחד. החוקרים מצאו 1,160 סודות נוספים שמסתתרים בהיסטוריית Git של מאגר, בקבצי `settings.json` המשותפים שצוותים מבצעים בכוונה, ובתמלולי צ'אט של סוכנים שמורים שנבדקו ב-repos.

הדוגמאות שמתעד אפיירו נקראות כמו רשימת פעולות גרועות ביותר. ספק מסד נתונים חשף מפתח API משלו לענן ברמת הניהול - עם גישה לניהול וללא תפוגה - לצד מארח האשכולות שלו. סטארט-אפ B2B הדליף סיסמת ייצור של Azure Postgres. סוכנות תוכנה חשפה אסימון גישה לייצור Square. חברת שירותי IT שבנתה אפליקציה לתיעוד רפואי הדליפה את סיסמת הבעלים של מסד הנתונים הזה. פרויקטים בקוד פתוח לא הצליחו יותר: אחד עם יותר מ-1,000 כוכבים פרסם מפתח API בפורמט OpenAI, אחר אסימון npm.

ההקשר הביטחוני מחמיר את הממצא. תוכנה זדונית גניבת אישורים כבר סוחפת מכונות מפתחים בכמויות גדולות - Apiiro מצביע על תולעת Shai-Hulud npm, שהריצה את סורק ה-TruffleHog על קבצי הקורבנות. אותו סורק יסמן 643 מתוך 1,122 הקבצים שדלפו שאפיירו מצא. מדאיג יותר הוא השאריות: אחד מכל חמישה מהקבצים שדלפו לא מסומן על ידי TruffleHog או gitleaks, בדרך כלל מכיוון שהסוד הוא סיסמה שהוקלדה בתוך פקודה ולא מפתח בפורמט אסימון שניתן לזהות. סורקים סודיים, במילים אחרות, עיוורים מבחינה מבנית לסוג הדליפות הזה.

מה צוותים מושפעים צריכים לעשות

הנחיית השיקום של אפיירו מתחילה בהיקפי רדיוס הפיצוץ. חפש בארגון GitHub שלך `.claude/settings.local.json` ו`.claude/settings.json` - כל התאמה היא קובץ שכל אחד יכול לקרוא עכשיו. בדוק את היסטוריית ה-git של כל מאגר עבור הקובץ גם אם הוא נמחק, מכיוון שכל מזלג ושיבוט משמר את כל מה שההיסטוריה מכילה. לאחר מכן בדוק את העותקים המקומיים בכל מחשב מפתח: כל ערך ברשימת ההיתרים הוא פקודה שמישהו אישר, עם כל מה שהוקלד בה.

חשיבות ההזמנה של המשרד: סובב ראשון, נקה שני. מחיקת קובץ ממאגר לא עושה דבר לגבי אישורים שכבר היו פומביים, והיסטוריית git שומרת על סודות חשופים בחיים ללא הגבלת זמן.

תבנית, לא חד פעמית

עבור Anthropic, הממצא נוחת שבוע לאחר שקלוד קוד נתפס מדליף כתובות דוא"ל של משתמשים לכל אתר שבו הוא ביקר באמצעות כותרות User-Agent - באג שתוקן על ידי משלוח שינוי פרטיות, שהמבקרים כינו פלסטר. שני התקריות חולקות גורם שורש: סוכן שמטפל בהקשר רב עוצמה - אישורים, פרטי קשר, שמות מארח פנימיים - ומקבל החלטות ברירת מחדל לגבי לאן ההקשר הזה נודד.

השיעור מכליל מעבר לקוד קלוד. ככל שסוכני קידוד הופכים לציוד סטנדרטי, הקבצים שהם כותבים כדי לארגן את עצמם הופכים לפינה חדשה, לא סרוקה, בשרשרת האספקה ​​של התוכנה. המספרים של Apiiro מצביעים על כך שהפינה כבר דולפת בקנה מידה שרוב הארגונים לא התחילו למדוד.

הישאר לפני AI

כלי AI שולחים מהר יותר ממה שביקורות הבטיחות שלהם יכולות לעמוד בקצב. עקוב אחר כל התפתחות בסיקור חדשות AI.

קרא עוד חדשות AI →