Tombol paling nyaman dalam Kode Claude Anthropic – “Ya, dan jangan tanya lagi” – diam-diam telah berubah menjadi mesin pembocor kredensial, menurut penelitian baru dari perusahaan keamanan aplikasi Apiiro. Saat pengembang menyetujui perintah yang berisi rahasia, Claude Code menyimpan perintah persis tersebut, termasuk rahasia, ke file pengaturan lokal yang sering kali dikomit ke repositori GitHub publik. Pemindaian Apiiro menemukan 2.539 rahasia nyata yang tersimpan di 1.994 repositori publik: kata sandi basis data, kunci API cloud, token, dan login root SSH, tersebar di 63 organisasi, sebagian besar adalah perusahaan perangkat lunak. Salah satu perusahaan yang terkena dampak mengonfirmasi kepada peneliti bahwa kunci yang terekspos telah aktif. Ini adalah insiden privasi Claude Code yang kedua bulan ini, setelah pengungkapan email pengguna ke situs web melalui header User-Agent — dan insiden ini menyentuh infrastruktur produksi, bukan hanya detail kontak. Kami memantau keamanan agen pengkodean AI dengan cermat dalam cakupan alat AI.

Bagaimana Aturan Izin Menjadi Kebocoran

Mekanisme ini merupakan efek samping dari sistem izin Claude Code, yang meminta persetujuan sebelum menjalankan perintah shell — seringkali beberapa kali per sesi. Minta agen untuk men-debug koneksi database atau memanggil API internal, dan perintah yang diusulkan akan membawa kredensial apa pun yang diperlukan tugas, karena tidak dapat berfungsi tanpa kredensial tersebut.

Pilih "Ya, dan jangan tanya lagi," dan Claude Code menjalankan perintah dan menulis aturan izin ke `.claude/settings.local.json` di dalam folder proyek. Aturannya bukanlah sebuah abstraksi: ini adalah string perintah lengkap itu sendiri, kata sandi diketik dalam teks biasa dan semuanya.

File ini dirancang untuk tetap berada di mesin pengembang, dan Claude Code mencoba melindunginya — dengan menambahkannya ke daftar abaikan git global pengembang. Itu mencakup kasus umum, tetapi bukan kasus edge: folder yang nantinya akan menjadi repositori, kloning di komputer lain yang tidak ada pengabaian global, atau file yang dikomit seseorang sebelum entri pengabaian ditambahkan. Yang terpenting, aturan tersebut tidak pernah masuk ke `.gitignore` milik repositori, jadi tidak ada perlindungan yang menyertai proyek tersebut.

Yang memperparah masalah, Claude Code sering meng-commit file itu sendiri. Di 539 dari 1.105 repositori tempat Apiiro melacak rahasia sebenarnya, sebuah komit yang ditulis bersama oleh Claude telah mengubah file pengaturan — mengkomit model nama tersebut mulai dari Sonnet 4.5 hingga Opus 5.5. Apiiro mencatat bahwa perilaku tersebut adalah milik Claude Code, bukan modelnya: perusahaan tersebut mereproduksinya dengan Opus 5.5 dan Fable 5.1.

Skala Eksposur

Apiiro menghitung 104.185 salinan publik `.claude/settings.local.json` di GitHub. Dari jumlah tersebut, 1.122 berisi setidaknya satu rahasia nyata. Para peneliti menemukan 1.160 lebih rahasia yang bersembunyi di riwayat repositori git, di file `settings.json` yang dibagikan yang sengaja dilakukan tim, dan di transkrip obrolan agen yang disimpan dan diperiksa ke dalam repo.

Contoh dokumen Apiiro terbaca seperti daftar praktik terburuk. Vendor database mengekspos kunci API cloud tingkat adminnya sendiri — dengan akses terkelola dan tanpa masa berlaku habis — bersama dengan host klusternya. Startup B2B membocorkan kata sandi produksi Azure Postgres. Agen perangkat lunak mengungkap token akses produksi Square. Sebuah perusahaan layanan TI yang membangun aplikasi rekam medis membocorkan kata sandi pemilik database tersebut. Proyek sumber terbuka juga tidak lebih baik: proyek dengan lebih dari 1.000 bintang menerbitkan kunci API berformat OpenAI, dan yang lainnya menerbitkan token npm.

Konteks keamanan memperburuk temuan ini. Malware pencuri kredensial telah menyapu mesin pengembang dalam jumlah besar — ​​Apiiro menunjuk ke worm npm Shai-Hulud, yang menjalankan pemindai TruffleHog pada file korban. Pemindai yang sama akan menandai 643 dari 1.122 file bocor yang ditemukan Apiiro. Yang lebih mengkhawatirkan adalah residunya: satu dari lima file yang bocor tidak ditandai oleh TruffleHog maupun gitleaks, biasanya karena rahasianya adalah kata sandi yang diketik di dalam perintah, bukan kunci dalam format token yang dapat dikenali. Pemindai rahasia, dengan kata lain, secara struktural tidak mengetahui kelas kebocoran ini.

Apa yang Harus Dilakukan oleh Tim yang Terkena Dampak

Panduan remediasi Apiiro dimulai dengan menentukan radius ledakan. Telusuri organisasi GitHub Anda untuk `.claude/settings.local.json` dan `.claude/settings.json` — setiap klik adalah file yang dapat dibaca siapa pun saat ini. Periksa riwayat git setiap repositori untuk file tersebut meskipun telah dihapus, karena setiap fork dan klon mempertahankan isi riwayat apa pun. Kemudian audit salinan lokal di setiap mesin pengembang: setiap entri dalam daftar yang diizinkan adalah perintah yang disetujui seseorang, dengan apa pun yang diketik di dalamnya.

Perintah perusahaan penting: putar dulu, bersihkan kedua. Menghapus file dari repositori tidak berpengaruh apa pun terhadap kredensial yang sudah publik, dan riwayat git menjaga rahasia yang terekspos tetap hidup tanpa batas waktu.

Sebuah Pola, Bukan Sekali Saja

Untuk Anthropic, temuan ini muncul seminggu setelah Claude Code kedapatan membocorkan alamat email pengguna ke setiap situs web yang dikunjungi melalui header Agen-Pengguna — sebuah bug yang diperbaiki dengan mengirimkan modifikasi privasi, yang oleh para kritikus disebut sebagai plester. Kedua insiden tersebut memiliki akar permasalahan yang sama: agen yang menangani konteks yang kuat — kredensial, detail kontak, nama host internal — dan membuat keputusan default tentang ke mana konteks tersebut dibawa.

Pelajaran ini digeneralisasikan melampaui Claude Code. Ketika agen pengkodean menjadi perlengkapan standar, file yang mereka tulis untuk mengatur dirinya sendiri menjadi sudut baru yang belum terpindai dalam rantai pasokan perangkat lunak. Angka-angka Apiiro menunjukkan bahwa kebocoran sudut sudah terjadi pada skala yang belum dapat diukur oleh sebagian besar organisasi.

Tetap Terdepan dalam AI

Alat AI dikirimkan lebih cepat dibandingkan dengan kemampuan tinjauan keamanannya. Ikuti setiap perkembangan di [liputan berita AI] kami(https://aibuzzwire.news).

Baca berita AI selengkapnya →