Anthropic's Claude Code တွင် အဆင်ပြေဆုံးခလုတ် — "Yes, and Don't ask you" — သည် တိတ်တဆိတ် credential-leak machine အဖြစ်သို့ ပြောင်းလဲသွားခဲ့ကြောင်း application security firm Apiiro မှ သုတေသနအသစ်အရ သိရသည်။ developer များသည် လျှို့ဝှက်ချက်ပါရှိသော ကွန်မန်းတစ်ခုကို အတည်ပြုသောအခါ၊ Claude Code သည် ထိုအမိန့်အတိအကျ၊ လျှို့ဝှက်ပါဝင်သည့်၊ အများသူငှာ GitHub သိုလှောင်မှုများတွင် မကြာခဏအဆုံးသတ်လေ့ရှိသည့် ဒေသဆိုင်ရာ ဆက်တင်ဖိုင်တစ်ခုသို့ သိမ်းဆည်းသည်။ Apiiro ၏စကင်န်ဖတ်မှုတွင် အများသူငှာသိုလှောင်ရာ 1,994 ခုတွင် တည်ရှိနေသော လျှို့ဝှက်ချက် 2,539 ခု- ဒေတာဘေ့စ်စကားဝှက်များ၊ cloud API သော့များ၊ တိုကင်များနှင့် SSH အမြစ်ဝင်ရောက်ခြင်းများသည် အဖွဲ့အစည်း 63 ခုတွင် ပျံ့နှံ့သွားပြီး အများစုမှာ ဆော့ဖ်ဝဲကုမ္ပဏီများဖြစ်သည်။ ထိတွေ့မိသော သော့သည် အသက်ရှင်နေပြီဖြစ်ကြောင်း သုတေသီများအား သက်ရောက်မှုရှိသော ကုမ္ပဏီတစ်ခုမှ အတည်ပြုခဲ့သည်။ ကိရိယာ၏ အသုံးပြုသူအီးမေးလ်များကို ဝဘ်ဆိုက်များသို့ ထုတ်ဖော်ပြသခြင်း အသုံးပြုသူ-အေးဂျင့်ခေါင်းစီးများမှတဆင့် ဤလအတွင်း ဒုတိယမြောက်ဖြစ်ရပ်ဖြစ်ပါသည် —၊ ဤအရာသည် ထုတ်လုပ်မှုအခြေခံအဆောက်အအုံကိုထိရုံသာမက၊ ကျွန်ုပ်တို့သည် ကျွန်ုပ်တို့၏ AI tools coverage တွင် AI ကုဒ်ရေးသည့် အေးဂျင့်လုံခြုံရေးကို အနီးကပ်လိုက်နာပါသည်။
ခွင့်ပြုချက်စည်းမျဥ်းသည် ပေါက်ကြားမှုတစ်ခု မည်သို့ဖြစ်လာသနည်း။
အဆိုပါယန္တရားသည် shell commands များကိုမလုပ်ဆောင်မီ အတည်ပြုချက်တောင်းသည့် Claude Code ၏ခွင့်ပြုချက်စနစ်၏ ဘေးထွက်ဆိုးကျိုးတစ်ခုဖြစ်သည် — အကြိမ်များစွာ session တစ်ခုလျှင်။ ဒေတာဘေ့စ်ချိတ်ဆက်မှုတစ်ခုအား အမှားရှာရန် သို့မဟုတ် အတွင်းပိုင်း API ကိုခေါ်ဆိုရန် အေးဂျင့်အား တောင်းဆိုပြီး ၎င်းအဆိုပြုသည့်အမိန့်သည် ၎င်းတို့မပါဘဲ အလုပ်မလုပ်နိုင်သည့် အထောက်အထားများ လိုအပ်သည့်အတိုင်း လုပ်ဆောင်ပေးမည်ဖြစ်သည်။
"Yes, နှင့်ထပ်မမေးပါနှင့်" ကိုရွေးချယ်ပြီး Claude Code သည် command ကို run ပြီး project folder အတွင်းရှိ `.claude/settings.local.json` သို့ ခွင့်ပြုချက်စည်းမျဉ်းတစ်ခုရေးပါ။ စည်းမျဉ်းသည် abstraction မဟုတ်ပါ။ ၎င်းသည် command string ကိုယ်တိုင်၊ လွင်ပြင်ဖြင့် ရိုက်ထည့်ထားသော password နှင့် အားလုံးဖြစ်သည်။
ဖိုင်ကို developer ၏စက်တွင်ရှိနေစေရန် ဒီဇိုင်းထုတ်ထားပြီး Claude Code သည် developer ၏ global git ignore list သို့ထည့်သွင်းခြင်းဖြင့် ၎င်းကိုကာကွယ်ရန်ကြိုးစားပါသည်။ ၎င်းသည် သာမာန်ကိစ္စအား အကျုံးဝင်သော်လည်း အစွန်းအထင်းကိစ္စများမဟုတ်ပါ- နောက်ပိုင်းတွင် သိုလှောင်မှုတစ်ခုဖြစ်လာသည့် ဖိုင်တွဲတစ်ခု၊ ကမ္ဘာလုံးဆိုင်ရာလျစ်လျူရှုခြင်းမရှိသည့် အခြားစက်တစ်ခုပေါ်ရှိ ကလုန်းတစ်ခု သို့မဟုတ် လျစ်လျူရှုမှုထည့်သွင်းခြင်းမပြုမီ တစ်စုံတစ်ဦးမှ ကျူးလွန်ခဲ့သောဖိုင်တစ်ခု။ အရေးကြီးသည်မှာ၊ စည်းမျဉ်းသည် သိုလှောင်မှု၏ကိုယ်ပိုင် `.gitignore` တွင် ဘယ်သောအခါမှ မကျပါ၊ ထို့ကြောင့် ပရောဂျက်နှင့်အတူ အကာအကွယ်မပေးပါ။
ပြဿနာကို ပေါင်းစပ်ပြီး Claude Code သည် ဖိုင်ကို မကြာခဏ ကျူးလွန်သည်။ Apiiro သည် တကယ့်လျှို့ဝှက်ချက်ကို ခြေရာခံခဲ့သည့် သိုလှောင်ရုံ 1,105 တွင် 539 တွင် Claude မှ ပူးတွဲရေးသားသော ကတိကဝတ်တစ်ခုသည် ဆက်တင်ဖိုင်ကို ပြောင်းလဲခဲ့သည် — Sonnet 4.5 မှ Opus 5.5 အထိ အမည်မော်ဒယ်များကို ကတိပြုပါသည်။ Apiiro သည် အပြုအမူသည် Claude Code ၏ကိုယ်ပိုင်ဖြစ်ပြီး၊ မော်ဒယ်၏မဟုတ်ဘဲ၊ ကုမ္ပဏီမှ ၎င်းအား Opus 5.5 နှင့် Fable 5.1 နှစ်မျိုးလုံးဖြင့် ပြန်လည်ထုတ်လုပ်ထားသည်။
အလင်းဝင်မှုစကေး
Apiiro သည် GitHub ရှိ `.claude/settings.local.json` ၏ အများသူငှာ မိတ္တူ 104,185 ခုကို ရေတွက်ခဲ့သည်။ အဲဒီအထဲမှာ 1,122 မှာ အနည်းဆုံး တကယ့်လျှို့ဝှက်ချက်တစ်ခု ပါဝင်ပါတယ်။ သုတေသီများသည် repository git မှတ်တမ်းတွင် ပုန်းအောင်းနေသည့် နောက်ထပ်လျှို့ဝှက်ချက် 1,160 ကို တွေ့ရှိခဲ့ပြီး၊ မျှဝေထားသော `settings.json` ဖိုင်များတွင် အဖွဲ့များသည် တမင်ကျူးလွန်ကြောင်းနှင့် သိမ်းဆည်းထားသော အေးဂျင့်ချတ်မှတ်တမ်းများတွင် သိမ်းဆည်းထားသော မှတ်တမ်းများကို သိမ်းဆည်းထားသည်။
Apiiro စာရွက်စာတမ်း နမူနာများသည် အဆိုးရွားဆုံး အလေ့အကျင့် စစ်ဆေးစာရင်းကဲ့သို့ ဖတ်သည်။ ဒေတာဘေ့စ်ရောင်းချသူသည် ၎င်း၏အစုအဝေးအိမ်ရှင်နှင့်အတူ ၎င်း၏ စီမံခန့်ခွဲခွင့်အဆင့် cloud API သော့ကို — စီမံခန့်ခွဲခွင့်နှင့် သက်တမ်းကုန်ဆုံးခြင်းမရှိသော စီမံခန့်ခွဲသူအဆင့်တွင် ထုတ်ဖော်ပြသခဲ့သည်။ B2B စတင်မှုတစ်ခုသည် ထုတ်လုပ်သည့် Azure Postgres စကားဝှက်တစ်ခု ပေါက်ကြားခဲ့သည်။ ဆော့ဖ်ဝဲအေဂျင်စီတစ်ခုသည် Square ထုတ်လုပ်မှုဝင်ရောက်ခွင့် တိုကင်တစ်ခုကို ဖော်ထုတ်ခဲ့သည်။ ဆေးမှတ်တမ်းအက်ပလီကေးရှင်းတစ်ခုတည်ဆောက်နေသည့် အိုင်တီဝန်ဆောင်မှုကုမ္ပဏီတစ်ခုသည် ထိုဒေတာဘေ့စ်၏ပိုင်ရှင်စကားဝှက်ကို ပေါက်ကြားခဲ့သည်။ Open-source ပရောဂျက်များသည် ပိုမိုကောင်းမွန်ခြင်းမရှိပါ- ကြယ် ၁,၀၀၀ ကျော်ရှိသော တစ်ခုသည် OpenAI-ဖော်မတ် API သော့၊ အခြား npm တိုကင်တစ်ခုကို ထုတ်ဝေခဲ့သည်။
လုံခြုံရေးအခြေအနေသည် ရှာဖွေတွေ့ရှိမှုကို ပိုမိုဆိုးရွားစေသည်။ အထောက်အထားခိုးယူခြင်းမဲလ်ဝဲသည် ဆော့ဖ်ဝဲရေးသားသူစက်များကို အစုလိုက်အပြုံလိုက် ဖယ်ရှားပြီးဖြစ်သည် — Apiiro သည် သေဆုံးသူများ၏ဖိုင်များပေါ်တွင် TruffleHog စကင်နာကို လုပ်ဆောင်ပေးသည့် Shai-Hulud npm worm ကိုညွှန်ပြသည်။ ထိုတူညီသောစကင်နာသည် Apiiro တွေ့ရှိသောပေါက်ကြားမှု 1,122 ဖိုင်များအနက် 643 ကိုအလံပြမည်ဖြစ်သည်။ ပိုစိုးရိမ်စရာမှာ ကျန်ရှိနေသည်- ပေါက်ကြားသည့်ဖိုင်ငါးခုတွင် တစ်ခုသည် TruffleHog နှင့် gitleaks နှစ်ခုစလုံးမှ အလံမပြဘဲ၊ များသောအားဖြင့် လျှို့ဝှက်ချက်သည် မှတ်မိနိုင်သော တိုကင်ဖော်မတ်ရှိ သော့မဟုတ်ပဲ လျှို့ဝှက်ချက်တစ်ခုအတွင်း စကားဝှက်ကို ရိုက်ထည့်သောကြောင့် ဖြစ်သည်။ တစ်နည်းဆိုရသော် လျှို့ဝှက်စကင်နာများသည် ဤပေါက်ကြားမှုအတန်းအတွက် ဖွဲ့စည်းတည်ဆောက်ပုံအရ မျက်စိကွယ်သွားကြသည်။
ဒုက္ခရောက်နေတဲ့အသင်းတွေ ဘာလုပ်သင့်လဲ။
Apiiro ၏ ပြန်လည်ပြင်ဆင်ခြင်းလမ်းညွှန်ချက်သည် ပေါက်ကွဲမှုအချင်းဝက်ကို အတိုင်းအတာဖြင့် စတင်သည်။ `.claude/settings.local.json` နှင့် `.claude/settings.json` အတွက် သင်၏ GitHub အဖွဲ့အစည်းကို ရှာပါ — hitတိုင်းသည် မည်သူမဆို ယခုချက်ချင်းဖတ်နိုင်သော ဖိုင်တစ်ခုဖြစ်သည်။ ဖိုင်ကိုဖျက်လိုက်လျှင်တောင်မှ repository တစ်ခုစီ၏ git မှတ်တမ်းကို စစ်ဆေးပါ၊ အကြောင်းမှာ fork နှင့် clone တိုင်းသည် မည်သည့် history ပါရှိသည်ကို ထိန်းသိမ်းထားသောကြောင့်ဖြစ်သည်။ ထို့နောက် developer စက်တိုင်းရှိ ဒေသန္တရမိတ္တူများကို စစ်ဆေးပါ- ခွင့်ပြုစာရင်းတွင် ထည့်သွင်းမှုတစ်ခုစီသည် ၎င်းတွင်ရိုက်ထည့်ထားသည့်အတိုင်း အတည်ပြုထားသော တစ်စုံတစ်ဦး၏ အမိန့်တစ်ခုဖြစ်သည်။
ကုမ္ပဏီ၏အမိန့်စာမှာ အရေးကြီးသည်- ပထမလှည့်၊ ဒုတိယ ရှင်းပါ။ repository တစ်ခုမှ ဖိုင်တစ်ခုကို ဖျက်ခြင်းသည် အများသူငှာ ဖြစ်နေပြီဖြစ်သော အထောက်အထားများနှင့် ပတ်သက်၍ ဘာမှမဖြစ်ပါ၊ နှင့် git history သည် လျှို့ဝှက်ချက်များကို အကန့်အသတ်မရှိ ရှင်သန်စေပါသည်။
ပုံစံတစ်ခု၊ တစ်ခုမဟုတ်တစ်ခု
Anthropic အတွက်၊ Claude Code သည် User-Agent ခေါင်းစီးများမှတစ်ဆင့် ဝင်ရောက်ကြည့်ရှုခဲ့သည့် ဝဘ်ဆိုက်တိုင်းသို့ အသုံးပြုသူအီးမေးလ်လိပ်စာများပေါက်ကြားသွားပြီးနောက် တစ်ပတ်အကြာတွင် ရှာဖွေတွေ့ရှိမှုမှာ Band-aid ဟုခေါ်သော ကိုယ်ရေးကိုယ်တာပြုပြင်မွမ်းမံမှုတစ်ခုကို ပို့ဆောင်ခြင်းဖြင့် ပြင်ဆင်ထားသော bug တစ်ခုဖြစ်သည်။ အဖြစ်အပျက်နှစ်ခုသည် အရင်းခံအကြောင်းအရင်းကို မျှဝေသည်- အားကောင်းသည့်အကြောင်းအရာ—အထောက်အထားများ၊ အဆက်အသွယ်အသေးစိတ်များ၊ အတွင်းအသုံးဆောင်အမည်များ—ကို ကိုင်တွယ်သည့် အေးဂျင့်တစ်ခုနှင့် ထိုအကြောင်းအရာသည် မည်သည့်နေရာသို့သွားသည်နှင့်ပတ်သက်သည့် ပုံသေဆုံးဖြတ်ချက်များကို ပြုလုပ်သည်။
သင်ခန်းစာသည် Claude Code ကိုကျော်လွန်၍ ယေဘုယျအားဖြင့် အကျုံးဝင်ပါသည်။ coding အေးဂျင့်များသည် စံကိရိယာများဖြစ်လာသည်နှင့်အမျှ ၎င်းတို့ကိုယ်တိုင်စုစည်းရန် ၎င်းတို့ရေးသောဖိုင်များသည် ဆော့ဖ်ဝဲလ်ထောက်ပံ့ရေးကွင်းဆက်၏ စကင်န်မဖတ်ရသေးသော ထောင့်အသစ်ဖြစ်လာသည်။ Apiiro ၏ ကိန်းဂဏာန်းများအရ အဖွဲ့အစည်းအများစုသည် စတင်တိုင်းတာခြင်းမပြုသေးသည့် အတိုင်းအတာတစ်ခုတွင် ထောင့်ပေါက်ကြားနေပြီဖြစ်သည်။
AI ထက်သာလွန်နေပါစေ။
AI ကိရိယာများသည် ၎င်းတို့၏ ဘေးကင်းရေး သုံးသပ်ချက်များကို ဆက်လက်လုပ်ဆောင်နိုင်သည်ထက် ပိုမိုမြန်ဆန်စွာ ပို့ဆောင်လျက်ရှိသည်။ ကျွန်ုပ်တို့၏ AI သတင်းလွှမ်းခြုံမှု တွင် ဖွံ့ဖြိုးတိုးတက်မှုတိုင်းကို လိုက်နာပါ။
AI သတင်းအပြည့်အစုံကို ဖတ်ရှုရန် →
