Butang paling mudah dalam Kod Claude Anthropic — "Ya, dan jangan tanya lagi" — secara senyap-senyap telah bertukar menjadi mesin yang bocor kelayakan, menurut penyelidikan baharu daripada firma keselamatan aplikasi Apiiro. Apabila pembangun meluluskan arahan yang mengandungi rahsia, Kod Claude menyimpan arahan tepat itu, termasuk rahsia, ke fail tetapan setempat yang sering berakhir dengan komitmen kepada repositori GitHub awam. Imbasan Apiiro menemui 2,539 rahsia sebenar yang terdapat dalam 1,994 repositori awam: kata laluan pangkalan data, kunci API awan, token dan log masuk akar SSH, tersebar di 63 organisasi, kebanyakannya syarikat perisian. Satu syarikat yang terjejas mengesahkan kepada penyelidik bahawa kunci terdedah telah disiarkan secara langsung. Ini merupakan insiden privasi Claude Code yang kedua pada bulan ini, berikutan [pendedahan e-mel pengguna ke tapak web] alat itu (https://aibuzzwire.news/en/article/claude-code-leaked-user-emails-user-agent-header-spam-wave) melalui pengepala Ejen Pengguna — dan ini menyentuh infrastruktur pengeluaran, bukan hanya butiran hubungan. Kami mengikuti keselamatan ejen pengekodan AI dengan teliti dalam [liputan alatan AI] kami(https://aibuzzwire.news).

Bagaimana Peraturan Kebenaran Menjadi Kebocoran

Mekanisme ini adalah kesan sampingan sistem kebenaran Claude Code, yang meminta kelulusan sebelum menjalankan arahan shell — selalunya berbilang kali setiap sesi. Minta ejen untuk menyahpepijat sambungan pangkalan data atau memanggil API dalaman, dan arahan yang dicadangkannya membawa sebarang bukti kelayakan yang diperlukan oleh tugas itu, kerana ia tidak boleh berfungsi tanpanya.

Pilih "Ya, dan jangan tanya lagi," dan Kod Claude menjalankan arahan dan menulis peraturan kebenaran untuk `.claude/settings.local.json` di dalam folder projek. Peraturannya bukan abstraksi: ia adalah rentetan arahan penuh itu sendiri, kata laluan yang ditaip dalam teks biasa dan semua.

Fail itu direka bentuk untuk kekal pada mesin pembangun, dan Kod Claude cuba melindunginya — dengan menambahkannya pada senarai abaikan global git pembangun. Itu meliputi kes biasa, tetapi bukan kes tepi: folder yang menjadi repositori kemudian, klon pada mesin lain yang mengabaikan global tidak wujud, atau fail yang dilakukan seseorang sebelum entri abaikan ditambahkan. Yang penting, peraturan itu tidak pernah berada dalam `.gitignore` repositori itu sendiri, jadi tiada perlindungan berlaku dengan projek itu.

Menggabungkan masalah, Claude Code sering melakukan fail itu sendiri. Dalam 539 daripada 1,105 repositori di mana Apiiro menjejaki rahsia sebenar, komit yang dikarang bersama oleh Claude telah menukar fail tetapan — melaksanakan model nama itu daripada Sonnet 4.5 hingga Opus 5.5. Apiiro menyatakan bahawa tingkah laku itu adalah milik Claude Code, bukan modelnya: firma itu mengeluarkannya semula dengan kedua-dua Opus 5.5 dan Fable 5.1.

Skala Pendedahan

Apiiro mengira 104,185 salinan awam `.claude/settings.local.json` di GitHub. Daripada jumlah itu, 1,122 mengandungi sekurang-kurangnya satu rahsia sebenar. Para penyelidik menemui 1,160 lagi rahsia yang bersembunyi dalam sejarah git repositori, dalam fail `settings.json` kongsi yang dilakukan oleh pasukan dengan sengaja, dan dalam transkrip sembang ejen yang disimpan yang disemak ke dalam repo.

Contoh dokumen Apiiro dibaca seperti senarai semak amalan terburuk. Vendor pangkalan data mendedahkan kunci API awan peringkat pentadbirnya sendiri — dengan akses urus dan tiada tamat tempoh — bersama hos klusternya. Permulaan B2B membocorkan kata laluan pengeluaran Azure Postgres. Sebuah agensi perisian mendedahkan token akses pengeluaran Square. Firma perkhidmatan IT yang membina aplikasi rekod perubatan membocorkan kata laluan pemilik pangkalan data itu. Projek sumber terbuka tidak lebih baik: satu dengan lebih daripada 1,000 bintang menerbitkan kunci API format OpenAI, satu lagi token npm.

Konteks keselamatan menjadikan penemuan lebih teruk. Malware mencuri bukti kelayakan sudah menyapu mesin pembangun secara pukal — Apiiro menunjuk ke cecacing npm Shai-Hulud, yang menjalankan pengimbas TruffleHog ke atas fail mangsa. Pengimbas yang sama akan membenderakan 643 daripada 1,122 fail bocor yang ditemui Apiiro. Lebih membimbangkan ialah baki: satu daripada lima fail yang bocor tidak dibenderakan oleh TruffleHog mahupun gitleaks, biasanya kerana rahsianya ialah kata laluan yang ditaip di dalam arahan dan bukannya kunci dalam format token yang boleh dikenali. Pengimbas rahsia, dengan kata lain, secara struktur buta terhadap kelas kebocoran ini.

Apa yang Patut Dilakukan oleh Pasukan Terpengaruh

Panduan pemulihan Apiiro bermula dengan skop jejari letupan. Cari organisasi GitHub anda untuk `.claude/settings.local.json` dan `.claude/settings.json` — setiap hit ialah fail yang boleh dibaca oleh sesiapa sahaja sekarang. Semak setiap sejarah git repositori untuk fail walaupun ia telah dipadamkan, kerana setiap garpu dan klon mengekalkan apa-apa sejarah yang mengandungi. Kemudian audit salinan tempatan pada setiap mesin pembangun: setiap entri dalam senarai benarkan adalah perintah yang diluluskan seseorang, dengan apa sahaja yang ditaip ke dalamnya.

Perkara pesanan firma: putar dahulu, bersihkan kedua. Memadamkan fail daripada repositori tidak melakukan apa-apa tentang bukti kelayakan yang telah pun terbuka, dan sejarah git mengekalkan rahsia terdedah terus hidup selama-lamanya.

Corak, Bukan Sekali Pakai

Bagi Anthropic, penemuan itu berlaku seminggu selepas Claude Code ditangkap membocorkan alamat e-mel pengguna ke setiap tapak web yang dilawatinya melalui pengepala Agen-Pengguna — pepijat yang dibetulkan dengan menghantar pengubahsuaian privasi, yang oleh pengkritik dipanggil band-aid. Kedua-dua insiden itu berkongsi punca: ejen yang mengendalikan konteks yang berkuasa — bukti kelayakan, butiran hubungan, nama hos dalaman — dan membuat keputusan lalai tentang ke mana konteks itu bergerak.

Pelajaran ini digeneralisasikan di luar Claude Code. Memandangkan ejen pengekodan menjadi peralatan standard, fail yang mereka tulis untuk menyusun sendiri menjadi sudut baharu rantaian bekalan perisian yang tidak diimbas. Nombor Apiiro menunjukkan bahawa sudut sudah bocor pada skala yang kebanyakan organisasi belum mula mengukur.

Kekal Mendahului AI

Alat AI dihantar lebih cepat daripada ulasan keselamatan mereka dapat mengikutinya. Ikuti setiap perkembangan dalam [liputan berita AI] kami(https://aibuzzwire.news).

Baca lebih banyak berita AI →