Claude Code به طور تصادفی اسرار را در سراسر GitHub افشا می کند
اعلان «دوباره سؤال نشود» منجر به اشتراک‌گذاری گذرواژه‌ها، کلیدهای API و موارد دیگر می‌شود.
کلود کد به لطف نظارت جزئی در نحوه مدیریت فایل‌های تنظیماتش، اطلاعات حساسی را در نمونه‌های عمومی GitHub افشا می‌کند. این یافته‌های محققان امنیت هوش مصنوعی در Apiiro است که هزاران راز از جمله رمزهای عبور پایگاه داده، توکن‌های API و لاگین‌های ریشه را در میان فایل‌های تنظیمات Claude Code تعبیه‌شده در مخازن GitHub کشف کردند.
این نشت ناشی از روشی است که کلود کد تأیید کاربر برای دستورات پوسته خودکار را کنترل می کند. وقتی کاربر برای تأیید اجرای یک فرمان گزینه «بله و دوباره درخواست نشود» را انتخاب می‌کند، این انتخاب به عنوان بخشی از یک قانون در فایل محلی «.claude/settings.local.json» در رایانه کاربر ذخیره می‌شود. این قانون گاهی اوقات به عنوان یک الگو کدگذاری می شود، اما خود فرمان اغلب در آن فایل تنظیمات همانطور که هست، شامل اطلاعات حساسی که ممکن است در آن تعبیه شده باشد، نوشته می شود.
اگر فایل تنظیمات روی دستگاه محلی کاربر باقی بماند، این واقعا یک مشکل امنیتی مهم نیست (البته با فرض اینکه دستگاه خودش در معرض خطر قرار نگیرد). و Anthropic در اسناد Claude Code خود اشاره می‌کند که این فایل تنظیمات خاص به فهرست جهانی .gitignore توسعه‌دهنده اضافه می‌شود، که معمولا از اشتراک‌گذاری عمومی آن جلوگیری می‌کند.
مقاله کامل را بخوانید
نظرات
متن اصلی (انگلیسی)
Claude Code is accidentally exposing secrets all over GitHub
"Do not ask again" prompt leads to passwords, API keys, and more being shared.