Anthropic’in yazılım geliştirme aracı Claude Code’da “Evet, bir daha sorma” seçeneği, bazı geliştiricilerin şifrelerini ve API anahtarlarını farkında olmadan GitHub’da paylaşmasına yol açabiliyor. Claude Code bir komutu çalıştırmadan önce onay istiyor. Kalıcı onay verildiğinde ise izin kuralını projenin içindeki .claude/settings.local.json dosyasına kaydediyor. Komutun içinde bir erişim bilgisi varsa bu bilgi de dosyada açık metin olarak kalabiliyor.
Güvenlik şirketi Apiiro, GitHub’daki herkese açık 104.185 yerel ayar dosyasını inceledi. Bunların 1.122’sinde en az bir hassas bilgi tespit etti; dosyalarda toplam 1.379 farklı şifre veya anahtar bulunuyordu. Git geçmişi, paylaşılan ayarlar ve kaydedilmiş asistan konuşmaları da hesaba katıldığında sayı 1.994 depoda 2.539’a yükseldi. Araştırmacılar bu bilgilerin hâlâ çalışıp çalışmadığını test etmedi.
Claude Code, kendi oluşturduğu yerel ayar dosyasını normalde Git’in kapsamı dışında tutuyor. Ancak bu koruma projenin .gitignore dosyasına değil, geliştiricinin bilgisayarındaki genel dışlama listesine ekleniyor. Bu yüzden dosya başka bir makinede veya zaten takip edildiği bir depoda yanlışlıkla yayımlanabiliyor.
Claude Code kullanan geliştiricilerin yerel ayar dosyalarını ve depolarının Git geçmişini kontrol etmesi gerekiyor. Yayımlanmış bir şifre ya da anahtar bulunursa yalnızca dosyayı silmek yeterli değil; ilgili erişim bilgisinin de değiştirilmesi gerekiyor.
Kaynak: www.techspot.com
