نشت داده‌های حساس کاربران توسط Claude Code در گیت‌هاب؛ هشدار جدی امنیتی
ابزار Claude Code به‌دلیل نحوه مدیریت تنظیمات، باعث نشت اسرار امنیتی کاربران در مخازن عمومی GitHub شده است. محققان امنیتی بیش از هزار مورد فایل حاوی کلمات عبور و توکن‌های API را شناسایی کرده‌اند.
تحقیقات جدید محققان امنیتی در Apiiro نشان می‌دهد که ابزار هوش مصنوعی Claude Code به دلیل یک نقص فنی در مدیریت فایل‌های تنظیمات، به طور ناخواسته باعث نشت اطلاعات حساس کاربران در مخازن عمومی GitHub شده است. این نشت شامل داده‌های مهمی نظیر رمزهای عبور پایگاه داده، توکن‌های API و اطلاعات ورود به سیستم است.
مشکل از جایی آغاز می‌شود که Claude Code برای تایید خودکار دستورات شل توسط کاربر، گزینه‌ای تحت عنوان «Yes, and don’t ask again» ارائه می‌دهد. انتخاب این گزینه باعث می‌شود دستور موردنظر در فایل محلی با نام .claude/settings.local.json ذخیره شود. اگرچه این فایل در سطح محلی نباید به اشتراک گذاشته شود، اما طبق گزارش‌ها، بسیاری از کاربران به طور ناخواسته این فایل را در مخازن گیت‌هاب عمومی خود آپلود کرده‌اند. این موضوع زمانی حادتر می‌شود که Claude Code خود تغییراتی را در این فایل اعمال می‌کند بدون اینکه کاربر از محتویات آن آگاه باشد.
محققان Apiiro بیش از ۱۰۰ هزار نمونه از این فایل تنظیمات را در مخازن عمومی گیت‌هاب پیدا کرده‌اند که از این میان، حدود ۱۱۰۰ مورد حاوی اطلاعات به‌شدت حساس نظیر کلیدهای خصوصی و توکن‌های دسترسی بوده است. حتی پس از حذف فایل از مخزن اصلی، این اطلاعات ممکن است در فورک‌ها (Forks) یا کپی‌های ایجاد شده توسط سایر کاربران باقی بماند که خطرات امنیتی طولانی‌مدتی ایجاد می‌کند.
آنتروپیک (Anthropic) در مستندات خود اشاره کرده که این فایل‌ها باید در لیست سیاه .gitignore قرار بگیرند، اما این تنظیم در سطح مخازن همیشه به درستی اعمال نمی‌شود. به کاربران توصیه می‌شود بلافاصله مخازن خود را برای یافتن این فایل تنظیمات بررسی کرده و در صورت وجود، تمامی توکن‌ها و رمزهای عبور ذخیره شده در آن را فوراً تغییر دهند.
گزارش فارسی این خبر با کمک هوش مصنوعی و فقط بر اساس اطلاعات منتشرشده در منبع تهیه شده است.