Claude Code dosyaları GitHub'da 1,122 şifre ve anahtar içeriyor

Claude Code, geliştiricilerin onayladığı komutlarda girdiği şifreler ve API anahtarlarını, herkesin erişebileceği kamuya açık GitHub depolarında saklıyor. Bu durum, güvenlik açısından ciddi bir tehdit oluşturuyor. Araştırmalar, 1,122 kamuya açık kopyanın en az bir gizli bilgi içerdiğini ortaya koydu.

Claude Code'un Çalışma Prensibi

Claude Code, kullanıcı "Evet, bir daha sorma" seçeneğini seçtiğinde, onaylanan komutları kelimesi kelimesine bir proje ayar dosyasına kaydediyor. Bu dosya, .claude/settings.local.json olarak adlandırılıyor. Kullanıcı bu dosyayı projeden kaldırsa bile, eski sürümleri git geçmişinde ve depo çatallarında kalmaya devam ediyor. Bu nedenle, araştırmacılar, öncelikle tüm şifrelerin, token'ların ve anahtarların değiştirilmesini öneriyor.

Gizli Bilgilerin Yaygınlığı

Yazılım güvenliği şirketi Apiiro, araştırmalarında 104,185 kopya dosya buldu. Bu dosyaların %1.1'i, yani 1,122 kopya, en az bir gizli bilgi içeriyor. Gizli bilgiler arasında 379 veritabanı şifresi, 43 SSH girişi ve 42 GitHub, GitLab ve npm token'ı bulunuyor. Araştırmacılar, bu dosyaların 63 farklı organizasyona ait olduğunu ve çoğunluğunun yazılım şirketleri olduğunu belirtiyor.

Güvenlik Önlemleri ve Tavsiyeler

Geliştiricilerin, gizli bilgilerin sızmasını önlemek için alması gereken bazı önlemler şunlardır:

• GitHub organizasyonlarında .claude/settings.local.json ve .claude/settings.json dosyalarını arayın.
• Dosyalarda saklanan tüm şifreleri, token'ları ve anahtarları değiştirin.
• Yerel dosyayı git ile izlemeyi durdurun ve .gitignore dosyasına ekleyin.
• Komutlarda gizli bilgileri kullanmaktan kaçının, bunun yerine bir gizli bilgi yöneticisinden değişkenler kullanın.

Sızdırılan Bilgilerin Tehlikesi

Araştırmalar, sızdırılan bilgilerin ciddi güvenlik açıklarına neden olabileceğini gösteriyor. Özellikle, gizli bilgilerin doğrudan bir veritabanına erişim sağladığı durumlar söz konusu. Ayrıca, daha önce kötü amaçlı yazılımlar, geliştiricilerin makinelerinde gizli bilgileri aramıştı. Bu nedenle, geliştiricilerin ve güvenlik ekiplerinin bu dosyaları dikkatle incelemesi ve gerekli önlemleri alması hayati önem taşıyor.

Sonuç olarak, Claude Code'un bu davranışı, yazılım geliştirme süreçlerinde dikkatli olunması gerektiğini bir kez daha gözler önüne seriyor. Geliştiricilerin gizli bilgileri korumak için daha dikkatli olmaları ve güvenlik önlemlerini artırmaları gerekiyor.