Secondo una nuova ricerca della società di sicurezza delle applicazioni Apiiro, il pulsante più conveniente del Claude Code di Anthropic - "Sì, e non chiedermelo più" - si è silenziosamente trasformato in una macchina che perde credenziali. Quando gli sviluppatori approvano un comando che contiene un segreto, Claude Code salva quel comando esatto, segreto incluso, in un file di impostazioni locali che spesso finisce per essere salvato nei repository GitHub pubblici. La scansione di Apiiro ha rilevato 2.539 veri segreti conservati in 1.994 repository pubblici: password di database, chiavi API cloud, token e accessi root SSH, distribuiti in 63 organizzazioni, la maggior parte delle quali società di software. Una delle aziende interessate ha confermato ai ricercatori che una chiave esposta era attiva. Si tratta del secondo incidente relativo alla privacy del Codice Claude questo mese, dopo la divulgazione delle email degli utenti ai siti web tramite intestazioni User-Agent - e questo tocca l'infrastruttura di produzione, non solo i dettagli di contatto. Seguiamo attentamente la sicurezza degli agenti di codifica AI nella nostra copertura sugli strumenti AI.

Come una regola di autorizzazione diventa una perdita

Il meccanismo è un effetto collaterale del sistema di permessi di Claude Code, che richiede l'approvazione prima di eseguire i comandi della shell, spesso più volte per sessione. Chiedi all'agente di eseguire il debug di una connessione al database o di chiamare un'API interna e il comando che propone trasporta tutte le credenziali richieste dall'attività, perché non può funzionare senza di esse.

Scegli "Sì e non chiedere più" e Claude Code eseguirà il comando e scriverà una regola di autorizzazione su `.claude/settings.local.json` all'interno della cartella del progetto. La regola non è un'astrazione: è la stringa di comando completa stessa, la password digitata in testo semplice e tutto il resto.

Il file è progettato per rimanere sul computer dello sviluppatore e Claude Code tenta di proteggerlo, aggiungendolo all'elenco git ignore globale dello sviluppatore. Ciò copre il caso comune, ma non i casi limite: una cartella che diventa un repository in seguito, un clone su un'altra macchina in cui l'ignore globale non esiste o un file qualcuno ha eseguito il commit prima che fosse aggiunta la voce ignore. Fondamentalmente, la regola non arriva mai nel file `.gitignore` del repository, quindi nessuna protezione viaggia con il progetto.

Ad aggravare il problema, Claude Code spesso esegue il commit del file stesso. In 539 dei 1.105 repository in cui Apiiro ha rintracciato un vero segreto, un commit scritto da Claude aveva modificato il file delle impostazioni: commit con quel nome che vanno da Sonnet 4.5 a Opus 5.5. Apiiro nota che il comportamento è proprio di Claude Code, non del modello: l'azienda lo ha riprodotto sia con Opus 5.5 che con Fable 5.1.

La scala dell'esposizione

Apiiro ha contato 104.185 copie pubbliche di `.claude/settings.local.json` su GitHub. Di questi, 1.122 contengono almeno un vero segreto. I ricercatori hanno scoperto altri 1.160 segreti nascosti nella cronologia git del repository, nei file condivisi `settings.json` che i team hanno commesso deliberatamente e nelle trascrizioni salvate delle chat degli agenti archiviate nei repository.

Gli esempi di documenti Apiiro si leggono come una lista di controllo delle peggiori pratiche. Un fornitore di database ha esposto la propria chiave API cloud a livello di amministratore, con accesso gestito e senza scadenza, insieme al proprio host cluster. Una startup B2B ha fatto trapelare una password di produzione di Azure Postgres. Un'agenzia di software ha esposto un token di accesso alla produzione Square. Un'azienda di servizi IT che stava sviluppando un'applicazione per cartelle cliniche ha fatto trapelare la password del proprietario di quel database. I progetti open source non sono andati meglio: uno con più di 1.000 stelle ha pubblicato una chiave API in formato OpenAI, un altro un token npm.

Il contesto di sicurezza peggiora la situazione. Il malware per il furto di credenziali invade già in massa le macchine degli sviluppatori: Apiiro punta al worm Shai-Hulud npm, che ha eseguito lo scanner TruffleHog sui file delle vittime. Lo stesso scanner segnalerebbe 643 dei 1.122 file trapelati trovati da Apiiro. Più preoccupante è il resto: uno su cinque dei file trapelati non è segnalato né da TruffleHog né da gitleaks, solitamente perché il segreto è una password digitata all'interno di un comando piuttosto che una chiave in un formato token riconoscibile. Gli scanner segreti, in altre parole, sono strutturalmente ciechi rispetto a questa classe di fughe di notizie.

Cosa dovrebbero fare le squadre interessate

La guida alla bonifica di Apiiro inizia con l'analisi del raggio dell'esplosione. Cerca ".claude/settings.local.json" e ".claude/settings.json" nella tua organizzazione GitHub: ogni risultato è un file che chiunque può leggere in questo momento. Controlla la cronologia git di ogni repository per il file anche se è stato eliminato, perché ogni fork e clone conserva qualunque cronologia contenga. Quindi controlla le copie locali su ogni macchina dello sviluppatore: ogni voce nell'elenco consentito è un comando approvato da qualcuno, con qualunque cosa sia stata digitata al suo interno.

L'ordine dell'azienda è importante: prima ruotare, poi ripulire. L'eliminazione di un file da un repository non ha alcun effetto sulle credenziali che erano già pubbliche e la cronologia di git mantiene vivi i segreti esposti a tempo indeterminato.

Un modello, non un pezzo unico

Per Anthropic, la scoperta arriva una settimana dopo che Claude Code è stato sorpreso a divulgare gli indirizzi e-mail degli utenti a tutti i siti Web visitati tramite intestazioni User-Agent: un bug risolto inviando una modifica alla privacy, che i critici hanno definito un cerotto. I due incidenti condividono una causa principale: un agente che gestisce un contesto potente (credenziali, dettagli di contatto, nomi host interni) e prende decisioni predefinite su dove viaggia quel contesto.

La lezione generalizza oltre Claude Code. Man mano che gli agenti di codifica diventano apparecchiature standard, i file che scrivono per organizzarsi stanno diventando un nuovo angolo non analizzato della catena di fornitura del software. I numeri di Apiiro suggeriscono che si stanno già verificando perdite a un livello che la maggior parte delle organizzazioni non ha ancora iniziato a misurare.

Stai al passo con l'intelligenza artificiale

Gli strumenti di intelligenza artificiale vengono spediti più velocemente di quanto le loro revisioni sulla sicurezza riescano a tenere il passo. Segui ogni sviluppo nella nostra copertura delle notizie sull'intelligenza artificiale.

Leggi altre notizie sull'AI →