Περισσότερα από 100.000 αρχεία ρυθμίσεων του Claude Code βρέθηκαν σε δημόσια αποθετήρια του GitHub. Τα περισσότερα δεν κρύβουν τίποτα. Σε περίπου 1.100 όμως, από 63 οργανισμούς, υπήρχαν κωδικοί βάσεων δεδομένων, δημόσια κλειδιά API και ιδιωτικά κλειδιά. Το εντόπισαν ερευνητές ασφάλειας της Apiiro, όπως μεταδίδει το Ars Technica.
Η αιτία είναι ο τρόπος που το εργαλείο θυμάται τις εγκρίσεις του χρήστη. Όταν κάποιος επιλέγει «Yes, and don’t ask again» για μια εντολή κελύφους, το Claude Code την αποθηκεύει ως κανόνα στο τοπικό αρχείο «.claude/settings.local.json». Ο κανόνας μπορεί να γραφτεί ως μοτίβο, αλλά συχνά η εντολή καταγράφεται αυτούσια. Αν περιέχει κωδικό ή κλειδί, αυτό μπαίνει μαζί της στο αρχείο.
Στον υπολογιστή του προγραμματιστή το πρόβλημα δεν είναι σοβαρό, εφόσον ο υπολογιστής δεν έχει παραβιαστεί. Η τεκμηρίωση της Anthropic λέει ότι το αρχείο προστίθεται στη γενική λίστα .gitignore του χρήστη, που συνήθως εμποδίζει τη δημοσίευσή του. Η λίστα αυτή όμως δεν ισχύει σε επίπεδο αποθετηρίου. Αν το αποθετήριο κλωνοποιηθεί σε άλλο μηχάνημα ή ένας φάκελος γίνει αποθετήριο αργότερα, το αρχείο μπορεί να ανέβει κατά λάθος. Σε πολλές περιπτώσεις, σημειώνει η Apiiro, το ίδιο το Claude Code καταχωρεί τις αλλαγές στο αρχείο χωρίς να ρωτήσει τον χρήστη.
Το κακό δεν σταματά όταν σβηστεί το αρχείο. Τα μυστικά μπορούν να μείνουν στα forks, τα αντίγραφα του έργου που έχουν φτιάξει άλλοι χρήστες, αν κανείς δεν προσέξει.
Γνωστό πρόβλημα από τον Αύγουστο του 2025
Το ζήτημα δεν είναι καινούργιο. Αναφορά σφάλματος για το Claude Code το είχε επισημάνει ήδη τον Αύγουστο του 2025. Άλλες αναφορές έγραφαν ότι το αρχείο δεν προστίθεται πάντα στο .gitignore ή ότι οι ευαίσθητες εντολές μπορούν να καταλήξουν σε άλλο αρχείο, που δεν προστατεύεται. Όλες έκλεισαν χωρίς ενέργεια, μετά από 60 ημέρες αδράνειας.
Σε συζήτηση στο Hacker News, ο Boris Cherny του Claude Code είπε ότι η ομάδα εξετάζει «τι μπορούμε να κάνουμε για να το αποτρέψουμε». Πρόσθεσε ότι αυτά τα αρχεία δεν θα έπρεπε σχεδόν ποτέ να περνούν στον έλεγχο εκδόσεων git και ότι τα περιστατικά φαίνεται να προκύπτουν μόνο όταν «τα αρχεία δημιουργήθηκαν χειροκίνητα και καταχωρήθηκαν».
Ως προσωρινή λύση πρότεινε τον αυτόματο τρόπο λειτουργίας (auto mode), που με ταξινομητές χειρίζεται τα «συνηθισμένα αιτήματα άδειας» χωρίς να χρειάζεται ο χρήστης να συντηρεί λίστες επιτρεπόμενων και απαγορευμένων εντολών. Όταν άλλος χρήστης παρατήρησε ότι και σε αυτόν τον τρόπο λειτουργίας οι ευαίσθητες εντολές μπορούν να αποθηκευτούν, ο Cherny απάντησε ότι ήταν «καλή παρατήρηση» και ότι η ομάδα σκέφτεται πώς θα το βελτιώσει.
Τα εργαλεία σάρωσης δεν τα έπιασαν όλα
Ο Cherny συνιστά επίσης σαρωτές μυστικών, προγράμματα που ψάχνουν τα αρχεία για ευαίσθητα στοιχεία και τα αφαιρούν. Είπε ότι η ομάδα εξετάζει να ενσωματώσει τέτοια σάρωση στο ίδιο το Claude Code. Η Apiiro όμως βρήκε ότι 215 από τα περίπου 1.100 μυστικά δεν εντοπίστηκαν από δύο δημοφιλείς σαρωτές, τους gitleaks και TruffleHog.
Δεν είναι η πρώτη φορά που πράκτορας AI αφήνει εκτεθειμένα ευαίσθητα δεδομένα. Τον περασμένο μήνα η Meta πάγωσε τη λειτουργία κοινοποίησης στον πράκτορα Muse, αφού ερευνητές ασφάλειας βρήκαν ότι οι διευθύνσεις των συνδέσμων μπορούσαν να μαντευτούν εύκολα.
Πηγή: Ars Technica
