Claude Code, GitHub'da binlerce şifreyi sızdırdı
Anthropic'in kodlama asistanı Claude Code, geliştiricilerin onayladığı komutları yerel dosyada saklayarak şifre ve API anahtarlarının GitHub'a sızdığına dikkat çekildi.
ÖNE ÇIKANLAR
- Claude Code, şifre ve API anahtarlarını GitHub'a sızdırdı
- Apiiro, 2 bin 539 sırrın 1 bin 994 depoda olduğunu tespit etti
- Sızdırma, "Evet, tekrar sorma" butonu ile ilgili
- 63 organizasyonun bilgileri açıklandı
- Anthropic henüz düzeltme yayımlamadı
Anthropic'in yazılım geliştiricilere yardımcı olması için sunduğu yapay zeka aracı Claude Code, binlerce şifre, API anahtarı ve sunucu kimlik bilgilerinin GitHub'da açıkça yer almasına neden oldu. Güvenlik şirketi Apiiro, 103 bin 617 genel depoda 104 bin 185 kopyasını tespit etti. Bu dosyalardan 1 bin 122'sinde en az bir gerçek sır bulunuyordu.
Sızdırılan bilgiler 63 farklı organizasyona ait oluyordu. Apiiro'nun tespit ettiği toplam sır sayısı 2 bin 539 idi. Bu sırlar 1 bin 994 genel depoda yer alıyordu. Projeler akademik çalışmalar, start-up'lar, yazılım ajansları ve teknoloji sağlayıcılarını kapsıyordu.
“Geliştiriciler, şifreleri ve diğer hassas bilgileri içeren talimatları onayladığında, Claude Code bu komutu düz metin olarak yerel dosyada kaydediyor.”
Sızdırmanın nedeni Claude Code'un terminal komutlarını çalıştırma izni sistemidir. Veritabanı geçişi veya tanılama gibi görevlerde asistan, şifre ve diğer hassas bilgileri içeren talimatlar önebilir. Geliştirici "Evet, tekrar sorma" seçeneğini işaretlediğinde, komut .claude/settings.local.json dosyasında düz metin olarak kaydedilir.
Claude Code bu dosyayı geliştiricinin genel .gitignore dosyasına ekleyerek GitHub'a gönderilmesini engellemeye çalışsa da, projenin kendi .gitignore dosyasına uygulanmadığı için koruma işe yaramıyor. Klasör paylaşıldığında, klonlandığında veya el ile Git için yapılandırıldığında dosya depoya dahil olabiliyor.
Apiiro'nun karşılaştırması, Claude Code'un diğer kodlama aracılarından farklı olduğunu gösteriyor. İncelenen 16 kodlama aracından sadece Claude Code, onaylanan komutun tamamını varsayılan olarak proje dosyasında kaydediyor. Anthropic, 8 Kasım tarihine kadar bir düzeltme yayımlamamıştı.
Güvenlik firması GitGuardian, farklı bir yöntemle 31 bin 88 sırrın aynı dosyada 23 bin 276 depoya gönderildiğini tespit etti. Bu sırlardan 5 bin 343'ü tespit edildiği sırada hala geçerliydi. Sızdırılan kimlik bilgilerinin saldırganlar tarafından kullanılıp kullanılmadığı net değildir.
Apiiro, 379 veritabanı şifresi, 43 SSH girişi, 42 GitHub, GitLab ve npm token'ı ve 23 AWS anahtarının sızdığını belirtti. Bildirilen bir şirket, anahtarının hala aktif olduğunu onayladı. Sırların 1,1 yüzde oranında dosyalarda bulunduğu ifade edildi.
Aşağıda 2 kaynak daha
YORUMLAR (0)
Henüz yorum yok. İlk yazan siz olun.
İLGİLİ HABERLER
Türkiye, karbon akreditasyonlu havalimanı sayısında dünya ikincisi oldu
COP31 kapsamında Antalya’da düzenlenen ödül töreninde Bakan Uraloğlu, 45 havalimanının sertifikalandırıldığını açıkladı.
Yunanistan Uzay Operasyonları Komutanlığı açıldı
Savunma Bakanı Dendias, komutanlığın ülkenin uzaydaki stratejik otonomiyasını artıracağını belirtti.
TSE Meta'ya 7,5 milyon real para verdi, intikam suçu yok
TSE, Meta'yı 7,5 milyon real cezalandırdı; platformun bir adayı tercih ettiği konusunda delil bulunamadı.
Bu sayfa, yukarıda adı geçen yayınların haberlerinden yapay zekâ destekli olarak derlendi ve yayın öncesi otomatik dil denetiminden geçti. Montegre'nin muhabiri yoktur; imza satırında haberin derlendiği yayınlar yazar. Yöntem ve yayın ilkeleri