Apiiro GitHub-da Claude Code icazə fayllarında 2,539 sirr tapdı

Apiiro tədqiqatçıları 1,994 ictimai GitHub repozitoriyasında 2,539 real sirr tapdılar; bunların çoxu .claude/settings.local.json adlı Claude Code icazə fayllarında saxlanılırdı. Fayllar istifadəçi sirr ehtiva edən əmr üçün 'Yes, and don't ask again' seçəndə yarana bilər. Apiiro 63 təşkilatın təsirləndiyini bildirir və onlardan biri açarının aktiv olduğunu təsdiqləyib.

Sirlər fayllara necə düşür

Claude Code shell əmrlərini işə salmazdan əvvəl icazə istəyir. Proqramçı 'Yes, and don't ask again' seçərsə, təsdiqlənmiş dəqiq əmri layihə qovluğundakı .claude/settings.local.json faylına yazır. Həmin əmrdə yerli konfiqurasiyadan köçürülən verilənlər bazası şifrəsi, bulud açarı, API token və ya SSH girişi ola bilər, buna görə sirr fayla yazılır. Claude Code faylı proqramçının qlobal git ignore siyahısına əlavə edir, amma repozitoriyun öz .gitignore faylına əlavə etmir, ona görə sonrakı commit onu əhatə edə bilər. Apiiro-nun izlədiyi real sirr olan 1,105 repozitoriydan 539-da Claude-un həmmüəllif olduğu commit faylı dəyişdirib.

Miqyas və ifşa

GitHub-da 103,617 repozitoriyada .claude/settings.local.json faylının 104,185 ictimai nüsxəsi var idi. Apiiro həmin fayllardan 1,122-sində real sirr tapdı; onlar 1,379 fərqli sirr ehtiva edirdi. Bunlardan 379-u verilənlər bazası şifrəsi, 122-si isə Supabase service-role açarı idi. Apiiro həmçinin git tarixçəsində, paylaşılan ayar fayllarında və agent söhbət transkriptlərində 1,160 əlavə sirr tapdı. Ümumilikdə Apiiro 1,994 repozitoriyada 2,539 fərqli real sirr saydı. Təsirlənən hallar arasında verilənlər bazası təchizatçısının bulud API açarı, istehsalat mühitindəki Azure Postgres şifrəsi, Square istehsalat tokeni, OpenAI-format API açarı, npm tokeni və tibbi qeydlər verilənlər bazasının sahibinin şifrəsi var. Apiiro həmçinin icazə siyahılarında 43 SSH etimadnaməsi tapdı; bunlara sshpass əmrlərində root şifrələri daxildir. Ümumi skanerlər sirlərin çoxunu qaçırdı: gitleaks 1,122 fayldan 564-nü, TruffleHog isə 643-nü işarələdi, 215-i isə heç biri işarələmədi. Çoxu PGPASSWORD=, sshpass -p, mysql -p və ya bearer başlıqları kimi əmrlərin içindəki şifrələr idi.

İstifadəçilər nə etməlidir

Apiiro proqramçılara faylı git rm --cached .claude/settings.local.json ilə izlənmədən çıxarmağı və izlənirsə, repozitoriyun öz .gitignore faylına əlavə etməyi tövsiyə edir. Onlar faylın əvvəllər saxladığı hər etimadnaməni yeniləməlidirlər, çünki silinmə onu tarixçədən, fork-lardan və ya klonlardan silmir. Fayl heç vaxt commit edilməyibsə belə, istifadəçilər onu açmalı və sirr ehtiva edən hər qaydanı silməlidirlər. Proqramçılar sirləri əmrlərə yazmaq əvəzinə $DB_URL kimi dəyişənlərə istinad etməli və literal əmrlər əvəzinə Bash(npm run:*) kimi şablonları təsdiqləməlidirlər. Təhlükəsizlik komandaları agent qovluqlarını və yaddaş fayllarını sirr saxlayan kimi qiymətləndirməli, onları pre-commit və CI skanına əlavə etməli və ictimai hostlarla cütlənmiş etimadnamələrə əvvəlcə prioritet verməlidirlər.

Mənbələr: apiiro.com