Yapay zeka güvenliği konusunda uzmanlaşmış Apiiro araştırmaçıları, GitHub'da 100.000'den fazla Claude Code ayar dosyası bulmuş ve bunların içinde veritabanı şifreleri, API anahtarları ve kök oturum bilgileri gibi 1.100'den fazla gizli bilgi tespit etmişlerdir.
Sızıntının Kaynağı: Ayar Dosyalarının Yönetimi
Sorun, Claude Code'un otomatik komut onaylarını işleme şekli ile başlamaktadır. Kullanıcı bir komutu çalıştırmak için 'Evet, bir daha sorma' seçeneğini seçtiğinde, bu karar kullanıcının bilgisayarında ".claude/settings.local.json" dosyasında depolanmaktadır. Komutlar bu dosyaya yazılırken, içerdikleri API anahtarları, parolalar ve diğer hassas bilgiler de korunumsuz bir şekilde kaydedilmektedir.
Anthropic, bu ayar dosyasının geliştiricinin genel .gitignore listesine eklenmesi gerektiğini belirtmiş olsa da, bu koruma depo düzeyinde geçerli olmamaktadır. Sonuç olarak, bir depo başka bir makineye klonlandığında veya klasör daha sonra bir depo haline geldiğinde, hassas dosya yanlışlıkla halka açık GitHub'a yüklenmektedir.
Antropik'ten Tepkisiz Hata Raporları ve İlk Adımlar
Apiiro'nun bu güvenlik açığını tespit etmeden çok önce, Ağustos 2025'te Claude Code'a yapılan hata bildirişlerinde bu sorun rapor edilmiş, ancak 60 gün hareketsizlik sonrasında kapatılmıştır. Claude Code'un geliştiricisi Boris Cherny, Hacker News üzerinden yapılan yorumlarda ekibin durumu araştırdığını ve iyileştirme yollarını düşündüğünü belirtmiştir. Cherny, kullanıcılara Claude Code'un otomatik modunu kullanmalarını ve GitHub'da hassas bilgi tarayıcı araçlarından yararlanmalarını önermiştir.
Yorumlar (0)
Henüz yorum yok. İlk yorumu siz yazın.