חברת האבטחה Apiiro מצאה שכאשר משתמש בוחר ב-"Yes, and don't ask again" ב-Claude Code, הפקודה המלאה נשמרת בטקסט גלוי, כולל סיסמה או טוקן שהוקלדו בתוכה. הקובץ נדחף לא פעם ל-GitHub ציבורי.
הפרטים
הקובץ הוא .claude/settings.local.json. לפי Apiiro, נמצאו כ-104 אלף עותקים ב-103,617 מאגרים ציבוריים; ב-1,122 מהם (כ-1.1%) יש לפחות סוד אחד, בסך 1,379 סודות: 379 סיסמאות מסדי נתונים, 43 כניסות SSH, 42 טוקנים של GitHub/GitLab/npm ו-23 מפתחות AWS. החוקרים לא בדקו אם הסודות עדיין פעילים; חברה אחת אישרה שהמפתח שלה פעיל.
לפי The Hacker News, Anthropic לא הגיבה, ודיווחים קודמים נסגרו אוטומטית כ-"not planned". תיקון לא הוזכר.
נקודות לשים לב
- חפש במאגרים שלך את
.claude/settings.local.jsonובדוק אם יש בו סיסמאות או טוקנים בתוך פקודות מאושרות. - החלף כל סוד חשוף לפני הניקוי; מחיקה מההיסטוריה לא מבטלת חשיפה שכבר קרתה.
- הוצא את הקובץ ממעקב git והוסף אותו ל-
.gitignore. - העבר סודות למשתני סביבה ממנהל סודות, ואשר תבניות פקודה במקום פקודות בודדות.
- הרחב את סורקי הסודות שלך כך שיכסו תיקיות של סוכני קוד ויתפסו סיסמאות בתוך פקודות.
מקורות: The Hacker News · Apiiro
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
