Cel mai convenabil buton din Codul lui Anthropic – „Da și nu mai întrebați” – s-a transformat în liniște într-o mașină de scurgere de acreditări, potrivit unei noi cercetări de la firma de securitate a aplicațiilor Apiiro. Când dezvoltatorii aprobă o comandă care conține un secret, Claude Code salvează acea comandă exactă, inclusiv secretul, într-un fișier de setări local care ajunge frecvent să fie trimis în depozitele publice GitHub. Scanarea Apiiro a găsit 2.539 de secrete reale aflate în 1.994 de depozite publice: parole de baze de date, chei API cloud, token-uri și autentificări SSH root, răspândite în 63 de organizații, majoritatea companii de software. O companie afectată a confirmat cercetătorilor că o cheie expusă a fost activă. Este al doilea incident de confidențialitate Claude Code din această lună, după [dezvăluirea e-mailurilor utilizatorilor către site-uri web] (https://aibuzzwire.news/en/article/claude-code-leaked-user-emails-user-agent-header-spam-wave) a instrumentului prin anteturile User-Agent - și acesta atinge infrastructura de producție, nu doar detaliile de contact. Urmărim îndeaproape securitatea agentului de codare AI în acoperirea instrumentelor AI.

Cum o regulă de permisiune devine o scurgere

Mecanismul este un efect secundar al sistemului de permisiuni al lui Claude Code, care solicită aprobarea înainte de a rula comenzi shell - adesea de mai multe ori pe sesiune. Cereți agentului să depaneze o conexiune la baza de date sau să apeleze un API intern, iar comanda pe care o propune conține orice acreditări necesită acea sarcină, deoarece nu poate funcționa fără ele.

Alegeți „Da și nu mai întrebați”, iar Claude Code rulează comanda și scrie o regulă de permisiune în `.claude/settings.local.json` în dosarul proiectului. Regula nu este o abstractizare: este șirul complet de comandă în sine, parola introdusă în text simplu și tot.

Fișierul este proiectat să rămână pe computerul dezvoltatorului, iar Claude Code încearcă să-l protejeze - adăugându-l la lista globală git ignore a dezvoltatorului. Aceasta acoperă cazul obișnuit, dar nu și cazurile marginale: un folder care devine mai târziu un depozit, o clonă pe o altă mașină în care ignorarea globală nu există sau un fișier comis de cineva înainte ca intrarea de ignorare să fie adăugată. În mod esențial, regula nu ajunge niciodată în propriul `.gitignore` al depozitului, așa că nicio protecție nu călătorește cu proiectul.

Agravând problema, Claude Code comite adesea fișierul în sine. În 539 din cele 1.105 de depozite în care Apiiro a urmărit un secret real, un commit, co-autor de Claude, a schimbat fișierul de setări - comite modele de nume, de la Sonnet 4.5 la Opus 5.5. Apiiro notează că comportamentul este al lui Claude Code, nu al modelului: firma l-a reprodus atât cu Opus 5.5, cât și cu Fable 5.1.

Scara expunerii

Apiiro a numărat 104.185 de copii publice ale `.claude/settings.local.json` pe GitHub. Dintre acestea, 1.122 conțin cel puțin un secret real. Cercetătorii au descoperit încă 1.160 de secrete care se ascund în istoricul git al depozitului, în fișierele partajate „settings.json” pe care echipele le comit în mod deliberat și în transcrierile de chat salvate ale agenților verificate în repoziții.

Exemplele documentelor Apiiro citesc ca o listă de verificare a celor mai proaste practici. Un furnizor de baze de date și-a expus propria cheie API cloud la nivel de administrator - cu acces de gestionare și fără expirare - alături de gazda sa de cluster. Un startup B2B a scurs o parolă Azure Postgres de producție. O agenție de software a expus un jeton de acces la producție Square. O firmă de servicii IT care a creat o aplicație de înregistrări medicale a scurs parola proprietarului acelei baze de date. Proiectele open-source nu s-au descurcat mai bine: unul cu peste 1.000 de stele a publicat o cheie API în format OpenAI, altul un token npm.

Contextul de securitate înrăutățește constatarea. Malware-ul care fură acreditări mătură deja mașinile dezvoltatorilor în vrac — Apiiro indică viermele Shai-Hulud npm, care a rulat scanerul TruffleHog peste fișierele victimelor. Același scaner ar semnala 643 din cele 1.122 de fișiere scurse găsite de Apiiro. Mai îngrijorător este reziduul: unul din cinci fișiere scurse nu este semnalat nici de TruffleHog, nici de gitleaks, de obicei pentru că secretul este o parolă introdusă într-o comandă, mai degrabă decât o cheie într-un format de simbol recunoscut. Scanerele secrete, cu alte cuvinte, sunt oarbe din punct de vedere structural la această clasă de scurgeri.

Ce ar trebui să facă echipele afectate

Ghidul de remediere al lui Apiiro începe cu determinarea razei exploziei. Căutați în organizația dvs. GitHub `.claude/settings.local.json` și `.claude/settings.json` — fiecare accesare este un fișier pe care oricine îl poate citi chiar acum. Verificați istoricul git al fiecărui depozit pentru fișier, chiar dacă acesta a fost șters, deoarece fiecare furcătură și clonă păstrează orice istoric conține. Apoi auditați copiile locale de pe fiecare computer de dezvoltator: fiecare intrare din lista de permise este o comandă aprobată de cineva, cu orice a fost introdus în ea.

Comenzile firmei contează: întoarceți mai întâi, curățați în al doilea rând. Ștergerea unui fișier dintr-un depozit nu face nimic în privința acreditărilor care erau deja publice, iar istoricul git păstrează vii secretele expuse la nesfârșit.

Un model, nu unul unic

Pentru Anthropic, descoperirea a ajuns la o săptămână după ce Claude Code a fost surprins că scurgea adresele de e-mail ale utilizatorilor către fiecare site web pe care l-a vizitat prin antetele User-Agent - o eroare remediată prin livrarea unei modificări a confidențialității, pe care criticii au numit-o un ajut. Cele două incidente împărtășesc o cauză principală: un agent care se ocupă de un context puternic - acreditări, detalii de contact, nume de gazdă interne - și ia decizii implicite cu privire la locul în care călătorește acel context.

Lecția se generalizează dincolo de Claude Code. Pe măsură ce agenții de codificare devin echipamente standard, fișierele pe care le scriu pentru a se organiza singuri devin un colț nou, nescanat al lanțului de aprovizionare cu software. Cifrele lui Apiiro sugerează că cornerul se scurge deja la o scară pe care majoritatea organizațiilor nu au început să o măsoare.

Rămâi înaintea AI

Instrumentele AI se livrează mai repede decât pot ține pasul cu recenziile lor de siguranță. Urmărește fiecare dezvoltare în acoperirea știrilor AI.

Citiți mai multe știri AI →