Claude Code sozlamalari GitHub'da maxfiy parollar va API kalitlarining sizib chiqishiga sabab bo'lmoqda
Apiiro xavfsizlik tadqiqotchilari Claude Code dasturining sozlamalar fayllari orqali ommaviy GitHub repozitoriylarida minglab maxfiy ma'lumotlar ochiqlanib qolayotganini aniqladi. Dasturchilar buyruqlarni avtomatik bajarishni tasdiqlaganida, ushbu buyruqlar va ulardagi parollar, API tokenlar mahalliy sozlamalar fayliga yozib boriladi. Garchi Anthropic ushbu fayllarni global .gitignore ro'yxatiga qo'shishini bildirgan bo'lsa-da, repozitoriy darajasida bu qoida doim ham ishlamaydi va fayllar ochiq tarmoqqa yuklanib qolmoqda. Natijada 63 ta tashkilotga tegishli 1100 dan ortiq maxfiy kalitlar va parollar ommaga oshkor bo'lgan.
Sun'iy intellekt xavfsizligi bo'yicha Apiiro tadqiqotchilari Anthropic kompaniyasining Claude Code dasturi bilan bog'liq jiddiy xavfsizlik kamchiligini aniqladi. Dastur buyruqlarni avtomatlashtirish jarayonida mahalliy sozlamalar fayllarida maxfiy ma'lumotlarni saqlashi va ular ehtiyotsizlik oqibatida ochiq GitHub repozitoriylariga yuklanib qolishi ma'lum bo'ldi.
Muammo Claude Code foydalanuvchidan terminal buyruqlarini bajarish uchun ruxsat so'raganda yuzaga keladi. Foydalanuvchi "Yes, and don't ask again" variantini tanlaganida, kiritilgan buyruq to'g'ridan-to'g'ri ".claude/settings.local.json" fayliga yoziladi. Agar ushbu buyruq ichida ma'lumotlar bazasi parollari, maxfiy kalitlar yoki API tokenlar bo'lsa, ular ham o'zgarishsiz ushbu konfiguratsiyada saqlanib qoladi.
Anthropic ushbu fayllar foydalanuvchining global .gitignore ro'yxatiga qo'shilishini va GitHub'ga yuklanmasligini ta'kidlagan. Biroq ushbu cheklov repozitoriy darajasida aks etmaydi. Repozitoriy boshqa qurilmaga klon qilinganda yoki yangi loyiha yaratilganda, nozik fayllar tasodifan ochiq GitHub omboriga yuklanib ketishi mumkin. Tadqiqotchilar 100 000 dan ortiq holatda ushbu fayllar ochiq qolganini, ulardan 1100 dan ortig'ida esa turli kompaniyalarning muhim maxfiy ma'lumotlari mavjudligini aniqlashdi.
Claude Code ishlab chiquvchilaridan biri Boris Cherniy bu masalani o'rganishayotganini bildirdi. U dasturchilarga vaqtincha avto-rejimdan (auto mode) va maxsus maxfiy ma'lumotlarni tekshiruvchi skanerlardan foydalanishni tavsiya qildi. Shu bilan birga, Apiiro tahlillari ommabop gitleaks va TruffleHog kabi skanerlar ham sizib chiqqan ma'lumotlarning bir qismini aniqlay olmaganini ko'rsatmoqda.
Claude Code ishlatayotgan dasturchilar zudlik bilan .claude papkasi o'z loyihalarining repozitoriy darajasidagi .gitignore fayliga kiritilganini tekshirishi va terminalda maxfiy kalitlar bilan buyruq bajarganda ehtiyot bo'lishi kerak.
METR xavfsizlik tashkiloti o'tkazgan tekshiruv Anthropic ichki AI vositalaridan foydalanib yangi modellar yaratish sur'atini ikki baravarga oshirganini aniqladi. Xodimlar unumdorligi 12 barobargacha oshgani ma'lum bo'lsa-da, hisobotdagi dalillar yashirilgani mutaxassislar xavotiriga sabab bo'lmoqda. Ushbu qo'llanmada jarayon tafsilotlari va uning sohadagi amaliy ahamiyati tahlil qilinadi.
PDF, DOCX yoki boshqa hujjatni shunchaki qisqartirish emas, balki mezonlar bo'yicha tahlil qilish va dalil bilan tekshirish usuli.