Claude Code ayar dosyası GitHub’da 2.539 parola ve anahtarı açığa çıkardı

Uygulama güvenliği şirketi Apiiro, Anthropic’in kodlama aracı Claude Code’un oluşturduğu ayar dosyaları yüzünden GitHub’daki 1.994 herkese açık depoda 2.539 geçerli parola ve erişim anahtarı bulduğunu açıkladı. Açığa çıkanlar arasında veritabanı parolaları, API jetonları, root yetkili SSH bilgileri ve yönetici yetkili bulut anahtarları var.

Sorun, aracın verilen izinleri hatırlama biçiminden çıkıyor. Geliştirici bir komutu onaylarken “Evet, bir daha sorma” seçeneğini işaretlerse Claude Code o komutu olduğu gibi proje klasöründeki ayar dosyasına yazıyor. Komutun içinde parola geçiyorsa parola da dosyaya giriyor. Dosya kodla birlikte GitHub’a yüklenince herkes görebiliyor.

Bunu da okuyun: Meta, en ucuz yapay zekâ modeli Muse Ember’i çıkardı: Rakip Haiku ve Luna

Kimler etkilendi?

Apiiro bu tür dosyaların 103.617 depoda 104.185 kopyasını tespit etti, gerçek gizli bilgi taşıyanlar 1.994’ünde çıktı. Etkilenenlerin çoğu bireysel geliştirici, ama listede girişimler ve büyük yazılım sağlayıcıları dahil 63 kurum da var. Raporda bir tıbbi kayıt veritabanının sahip parolası ve çalışan bir Square ödeme jetonu da sayılıyor. Gitleaks ve TruffleHog gibi yaygın tarayıcılar ise bilinen öneklere baktığı için komut satırında düz yazılmış bu parolaları çoğu zaman kaçırıyor.

Claude Code ekibinin lideri Boris Cherny, Anthropic’in bu sızıntıları önlemenin yollarını incelediğini doğruladı. Cherny’ye göre ayar dosyası sürüm kontrolüne konmak için tasarlanmadı, bulunan vakalar dosyanın geliştiriciler tarafından elle depoya eklenmesinden kaynaklanıyor. Cherny izinleri elle yönetmek yerine Auto modunun kullanılmasını ve GitHub’da gizli bilgi taramasının açılmasını önerdi.

Geliştiriciler ne yapmalı?

Apiiro, düz metin parola içeren tüm kuralların silinmesini ve açığa çıkmış her parolanın hemen değiştirilmesini öneriyor. Dosyayı silmek yetmiyor, çünkü içerik Git geçmişinde kalıyor. Şirket aynı sorunu yalnız Claude Code’da değil, VS Code Copilot’un otomatik onay ayarlarında ve yapay zekâ ajanlarının hafıza dosyalarında da gördü. Yapay zekâ kodlama araçlarındaki önceki güvenlik sorunu için sahte Claude Code eklentisi haberine bakabilirsiniz.

Kaynak: ShiftDelete.Net, Apiiro