அப்ளிகேஷன் செக்யூரிட்டி நிறுவனமான Apiiro வின் புதிய ஆராய்ச்சியின் படி, Anthropic's Claude Code-ல் உள்ள மிகவும் வசதியான பொத்தான் - "ஆம், மீண்டும் கேட்காதே" - அமைதியாக நற்சான்றிதழ் கசியும் இயந்திரமாக மாறியுள்ளது. டெவலப்பர்கள் ஒரு ரகசியத்தைக் கொண்ட கட்டளையை அங்கீகரிக்கும் போது, ​​Claude Code, அந்தத் துல்லியமான கட்டளையை, ரகசியம் உள்ளிட்டவை, பொது GitHub களஞ்சியங்களுக்கு அடிக்கடி உறுதியளிக்கும் உள்ளூர் அமைப்புகள் கோப்பில் சேமிக்கிறது. Apiiro இன் ஸ்கேன் மூலம் 1,994 பொது களஞ்சியங்களில் 2,539 உண்மையான ரகசியங்கள் உள்ளன: தரவுத்தள கடவுச்சொற்கள், கிளவுட் API விசைகள், டோக்கன்கள் மற்றும் SSH ரூட் உள்நுழைவுகள், 63 நிறுவனங்களில் பரவியுள்ளன, அவற்றில் பெரும்பாலானவை மென்பொருள் நிறுவனங்கள். பாதிக்கப்பட்ட நிறுவனம் ஒன்று வெளிப்பட்ட சாவி நேரலையில் இருப்பதை ஆராய்ச்சியாளர்களுக்கு உறுதிப்படுத்தியது. இது இந்த மாதம் இரண்டாவது கிளாட் கோட் தனியுரிமை சம்பவம் ஆகும், இது கருவியின் [பயனர் மின்னஞ்சல்களை இணையதளங்களுக்கு வெளிப்படுத்தியதை] தொடர்ந்து (https://aibuzzwire.news/en/article/claude-code-leaked-user-emails-user-agent-header-spam-wave) பயனர்-ஏஜெண்ட் தொடர்புத் தலைப்புகள், தயாரிப்பின் விவரங்கள் மட்டும் அல்ல. எங்கள் AI கருவிகள் கவரேஜ் இல் AI குறியீட்டு முகவர் பாதுகாப்பை நாங்கள் நெருக்கமாகப் பின்பற்றுகிறோம்.

அனுமதி விதி எப்படி கசிவு ஆகிறது

பொறிமுறையானது கிளாட் குறியீட்டின் அனுமதி அமைப்பின் பக்க விளைவு ஆகும், இது ஷெல் கட்டளைகளை இயக்குவதற்கு முன் அனுமதி கேட்கிறது - பெரும்பாலும் ஒரு அமர்வுக்கு பல முறை. ஒரு தரவுத்தள இணைப்பை பிழைத்திருத்த அல்லது உள் API ஐ அழைக்க ஏஜென்டிடம் கேளுங்கள், மேலும் அது முன்மொழியும் கட்டளையானது பணிக்குத் தேவையான எந்த நற்சான்றிதழ்களையும் கொண்டுள்ளது, ஏனெனில் அவை இல்லாமல் வேலை செய்ய முடியாது.

"ஆம், மீண்டும் கேட்க வேண்டாம்" என்பதைத் தேர்வுசெய்து, Claude Code கட்டளையை இயக்கி, திட்டக் கோப்புறைக்குள் `.claude/settings.local.json` க்கு அனுமதி விதியை எழுதுகிறது. விதி ஒரு சுருக்கம் அல்ல: இது முழு கட்டளை சரம், எளிய உரையில் தட்டச்சு செய்யப்பட்ட கடவுச்சொல் மற்றும் அனைத்தும்.

டெவலப்பரின் கணினியில் இருக்கும்படி கோப்பு வடிவமைக்கப்பட்டுள்ளது, மேலும் Claude Code அதை டெவலப்பரின் குளோபல் git புறக்கணிப்பு பட்டியலில் சேர்ப்பதன் மூலம் பாதுகாக்க முயற்சிக்கிறது. இது பொதுவான வழக்கை உள்ளடக்கியது, ஆனால் எட்ஜ் கேஸ்கள் அல்ல: ஒரு கோப்புறை பின்னர் களஞ்சியமாக மாறும், உலகளாவிய புறக்கணிப்பு இல்லாத மற்றொரு கணினியில் குளோன் அல்லது புறக்கணிப்பு உள்ளீடு சேர்க்கப்படுவதற்கு முன்பு யாரோ செய்த கோப்பு. முக்கியமாக, இந்த விதி களஞ்சியத்தின் சொந்த `.gitignore` இல் ஒருபோதும் இறங்காது, எனவே திட்டத்துடன் எந்தப் பாதுகாப்பும் பயணிக்காது.

சிக்கலைக் கூட்டும் வகையில், க்ளாட் கோட் பெரும்பாலும் கோப்பையே செய்கிறது. Apiiro ஒரு உண்மையான ரகசியத்தைக் கண்டுபிடித்த 1,105 களஞ்சியங்களில் 539 இல், Claude இணைந்து எழுதிய ஒரு கமிட் அமைப்புக் கோப்பை மாற்றியிருந்தது - Sonnet 4.5 முதல் Opus 5.5 வரையிலான பெயர் மாதிரிகள். Apiiro இந்த நடத்தை கிளாட் கோட்டின் சொந்தம், மாடல் அல்ல: நிறுவனம் அதை ஓபஸ் 5.5 மற்றும் ஃபேபிள் 5.1 இரண்டிலும் மீண்டும் உருவாக்கியது.

வெளிப்பாட்டின் அளவு

Apiiro GitHub இல் `.claude/settings.local.json` இன் 104,185 பொது நகல்களை எண்ணியது. அவற்றில், 1,122 இல் குறைந்தது ஒரு உண்மையான ரகசியம் உள்ளது. ரெபோசிட்டரி கிட் வரலாற்றில் மேலும் 1,160 ரகசியங்கள் மறைந்திருப்பதை ஆராய்ச்சியாளர்கள் கண்டறிந்தனர், பகிரப்பட்ட `settings.json` கோப்புகள் குழுக்கள் வேண்டுமென்றே செய்தன, மற்றும் சேமிக்கப்பட்ட முகவர் அரட்டை டிரான்ஸ்கிரிப்ட்கள் களஞ்சியங்களில் சரிபார்க்கப்பட்டன.

Apiiro ஆவணங்களின் எடுத்துக்காட்டுகள் மோசமான நடைமுறைகளின் சரிபார்ப்புப் பட்டியலாகப் படிக்கப்படுகின்றன. ஒரு தரவுத்தள விற்பனையாளர் அதன் சொந்த நிர்வாக-நிலை கிளவுட் API விசையை - மேலாண்மை அணுகல் மற்றும் காலாவதி இல்லாமல் - அதன் கிளஸ்டர் ஹோஸ்டுடன் அம்பலப்படுத்தினார். ஒரு B2B ஸ்டார்ட்அப் ஒரு தயாரிப்பு Azure Postgres கடவுச்சொல்லை கசியவிட்டது. ஒரு மென்பொருள் நிறுவனம் சதுர தயாரிப்பு அணுகல் டோக்கனை அம்பலப்படுத்தியது. ஒரு மருத்துவ-பதிவு செயலியை உருவாக்கும் ஒரு தகவல் தொழில்நுட்ப சேவை நிறுவனம் அந்த தரவுத்தளத்தின் உரிமையாளரின் கடவுச்சொல்லை கசியவிட்டது. திறந்த மூல திட்டங்கள் சிறப்பாக செயல்படவில்லை: 1,000 நட்சத்திரங்களுக்கு மேல் உள்ள ஒன்று OpenAI-வடிவ API விசையை வெளியிட்டது, மற்றொன்று npm டோக்கன்.

பாதுகாப்பு சூழல் கண்டுபிடிப்பை மோசமாக்குகிறது. நற்சான்றிதழ்-திருடும் தீம்பொருள் ஏற்கனவே டெவலப்பர் இயந்திரங்களை மொத்தமாக துடைக்கிறது - Apiiro Shai-Hulud npm worm ஐ சுட்டிக்காட்டுகிறது, இது பாதிக்கப்பட்டவர்களின் கோப்புகளில் TruffleHog ஸ்கேனரை இயக்கியது. அதே ஸ்கேனர் Apiiro கண்டறிந்த 1,122 கசிந்த கோப்புகளில் 643ஐக் கொடியிடும். மிகவும் கவலைக்குரியது எச்சம்: கசிந்த கோப்புகளில் ஐந்தில் ஒன்று TruffleHog அல்லது gitleaks ஆல் கொடியிடப்படவில்லை, பொதுவாக இரகசியமானது, அடையாளம் காணக்கூடிய டோக்கன் வடிவமைப்பில் உள்ள விசையை விட கட்டளைக்குள் தட்டச்சு செய்யப்படும் கடவுச்சொல்லாகும். இரகசிய ஸ்கேனர்கள், வேறு வார்த்தைகளில் கூறுவதானால், இந்த கசிவு வகுப்பிற்கு கட்டமைப்பு ரீதியாக குருட்டுத்தனமாக உள்ளன.

பாதிக்கப்பட்ட அணிகள் என்ன செய்ய வேண்டும்

Apiiro இன் தீர்வு வழிகாட்டுதல் வெடிப்பு ஆரம் ஸ்கோப்பிங் தொடங்குகிறது. உங்கள் GitHub நிறுவனத்தில் `.claude/settings.local.json` மற்றும் `.claude/settings.json` ஆகியவற்றைத் தேடுங்கள் — ஒவ்வொரு வெற்றியும் இப்போது எவரும் படிக்கக்கூடிய கோப்பு. கோப்பு நீக்கப்பட்டிருந்தாலும், ஒவ்வொரு களஞ்சியத்தின் ஜிட் வரலாற்றையும் சரிபார்க்கவும், ஏனெனில் ஒவ்வொரு ஃபோர்க் மற்றும் குளோன் வரலாற்றில் உள்ள அனைத்தையும் பாதுகாக்கும். ஒவ்வொரு டெவலப்பர் கணினியிலும் உள்ள உள்ளூர் நகல்களைத் தணிக்கை செய்யுங்கள்: அனுமதி பட்டியலில் உள்ள ஒவ்வொரு உள்ளீடும் யாரோ ஒருவர் அங்கீகரித்த கட்டளை, அதில் தட்டச்சு செய்தவை.

நிறுவனத்தின் ஆர்டர் முக்கியமானது: முதலில் சுழற்று, இரண்டாவது சுத்தம். ஒரு களஞ்சியத்தில் இருந்து ஒரு கோப்பை நீக்குவது ஏற்கனவே பொதுவில் உள்ள நற்சான்றிதழ்களைப் பற்றி எதுவும் செய்யாது, மேலும் git வரலாறு அம்பலப்படுத்தப்பட்ட ரகசியங்களை காலவரையின்றி உயிருடன் வைத்திருக்கும்.

ஒரு முறை, ஒரு முறை அல்ல

Anthropic ஐப் பொறுத்தவரை, Claude Code ஆனது பயனர்-ஏஜெண்ட் தலைப்புகள் மூலம் பார்வையிட்ட ஒவ்வொரு வலைத்தளத்திற்கும் பயனர் மின்னஞ்சல் முகவரிகளை கசியவிட்டதாக பிடிபட்ட ஒரு வாரத்திற்குப் பிறகு கண்டுபிடிக்கப்பட்டது - இது ஒரு தனியுரிமை மாற்றத்தை அனுப்புவதன் மூலம் சரி செய்யப்பட்டது, இதை விமர்சகர்கள் பேண்ட்-எய்ட் என்று அழைத்தனர். இரண்டு சம்பவங்களும் ஒரு மூல காரணத்தைப் பகிர்ந்து கொள்கின்றன: சக்திவாய்ந்த சூழலைக் கையாளும் ஒரு முகவர் - நற்சான்றிதழ்கள், தொடர்பு விவரங்கள், உள் ஹோஸ்ட் பெயர்கள் - மற்றும் அந்த சூழல் எங்கு பயணிக்கிறது என்பது பற்றிய இயல்புநிலை முடிவுகளை எடுக்கும்.

கிளாட் குறியீட்டிற்கு அப்பால் பாடம் பொதுமைப்படுத்துகிறது. குறியீட்டு முகவர்கள் நிலையான உபகரணங்களாக மாறும்போது, ​​​​அவர்கள் தங்களை ஒழுங்கமைக்க எழுதும் கோப்புகள் மென்பொருள் விநியோகச் சங்கிலியின் புதிய, ஸ்கேன் செய்யப்படாத மூலையாக மாறி வருகின்றன. பெரும்பாலான நிறுவனங்கள் அளவிடத் தொடங்காத அளவில் மூலை ஏற்கனவே கசிந்து வருவதாக அபிரோவின் எண்கள் தெரிவிக்கின்றன.

AIக்கு முன்னால் இருங்கள்

AI கருவிகள் அவற்றின் பாதுகாப்பு மதிப்பாய்வுகளை விட வேகமாக அனுப்பப்படுகின்றன. எங்கள் AI செய்தி கவரேஜில் ஒவ்வொரு வளர்ச்சியையும் பின்பற்றவும்.

மேலும் AI செய்திகளைப் படிக்கவும் →