Claude Code của Anthropic làm lộ hàng nghìn secret trên GitHub
Claude Code leaks thousands of secrets on GitHub
Tóm tắt nhanh
- Các nhà nghiên cứu của Apiiro phát hiện Anthropic’s Claude Code đã làm lộ hàng nghìn mật khẩu, API key và thông tin xác thực khác trong các repository GitHub công khai.
- Lỗ hổng đến từ cách Claude Code lưu lệnh shell đã được chấp thuận: khi người dùng chọn “Yes, and don't ask again”, lệnh có thể được ghi vào .claude/settings.local.json cùng cả password hoặc API token.
- Apiiro tìm thấy hơn 104.000 bản sao của file settings này trên GitHub công khai, trong đó 1.122 file chứa secret thật.
- Nhóm nghiên cứu cũng xác định 2.539 credential riêng biệt trên gần 2.000 repository, gồm database password, cloud service key, API token và SSH private credential.
- Một số repository bị ảnh hưởng thuộc về doanh nghiệp, bao gồm các nhà phát triển phần mềm và nhà cung cấp dịch vụ.
- Anthropic đã biết về sự cố và đang xem xét thêm secret scanning cùng thay đổi cách Claude Code xử lý quyền lệnh; Boris Cherny cũng khuyên lập trình viên dùng công cụ quét bảo mật và không đưa file settings cục bộ vào repository.
- Các công cụ phổ biến như Gitleaks và TruffleHog vẫn bỏ sót 215 trong số 1.122 file có secret, và Apiiro khuyến nghị đổi ngay các mật khẩu, khóa có thể đã bị lộ vì xóa file thôi là chưa đủ.
Tóm tắt tự động bằng AI từ bài gốc, có thể có sai sót. Hãy kiểm chứng ở bài gốc.
Trích đoạn bài gốc
Security researchers have found thousands of exposed passwords, API keys, and other credentials in public GitHub repositories, leaked because of the way Anthropic’s Claude Code saves approved shell commands. The company is considering changes to prevent further leaks, but existing security scanners have already missed hundreds of affected files.Tapview chỉ hiển thị tiêu đề, trích đoạn ngắn, tóm tắt và đường dẫn tới bài gốc. Nội dung gốc thuộc bản quyền của NotebookCheck.
