خبر کامل
نشت اطلاعات حساس و کلیدهای API توسط Claude Code در گیت‌هاب
نقص امنیتی در ابزار هوش مصنوعی Claude Code باعث شده است که اطلاعات بسیار حساس کاربران، از جمله رمزهای عبور پایگاه داده و توکن‌های API، به صورت تصادفی در مخازن عمومی GitHub منتشر شود. این یافته که توسط پژوهشگران امنیتی شرکت Apiiro گزارش شده، نشان‌دهنده یک آسیب‌پذیری جدی در نحوه مدیریت فایل‌های تنظیمات این ابزار است.
ریشه مشکل: چگونه اطلاعات حساس لو می‌رود؟
مشکل اصلی از نحوه تعامل کاربر با دستورات خودکار در Claude Code نشأت می‌گیرد. زمانی که یک کاربر گزینه «بله، و دیگر از من نپرس» را برای تایید یک دستور در محیط شل (Shell) انتخاب می‌کند، این انتخاب در فایل محلی .claude/settings.local.json ذخیره می‌شود.
در بسیاری از موارد، خودِ آن دستور که شامل اطلاعات حساس است، به صورت متن خام در این فایل تنظیمات نوشته می‌شود. اگرچه این فایل به طور پیش‌فرض باید در لیست .gitignore باشد، اما به دلیل عدم اعمال صحیح این تنظیم در سطح مخزن (Repository)، امکان آپلود تصادفی آن وجود دارد.
آمار تکان‌دهنده از نشت داده‌ها
پژوهشگران Apiiro طی بررسی‌های خود به نتایج نگران‌کننده‌ای دست یافته‌اند که در جدول زیر خلاصه شده است:
| شاخص بررسی شده | مقدار/تعداد یافت شده |
|---|---|
| تعداد کل فایل‌های تنظیمات آپلود شده | بیش از ۱۰۰,۰۰۰ مورد |
| تعداد فایل‌های حاوی اطلاعات حساس واقعی | حدود ۱,۱۰۰ مورد |
| تعداد سازمان‌های درگیر در نشت داده | ۶۳ سازمان مختلف |
نکته قابل توجه این است که حتی پس از حذف این فایل‌ها از یک مخزن، اطلاعات حساس ممکن است در نسخه‌های کپی شده (Forks) پروژه همچنان باقی بمانند.
راهکارهای مقابله و پاسخ تیم توسعه‌دهنده
با وجود اینکه این مشکل از اوت ۲۰۲۵ گزارش شده بود، تیم توسعه Claude Code اعلام کرده است که در حال بررسی راهکارهای قطعی برای جلوگیری از این اتفاق هستند. در حال حاضر، متخصصان موارد زیر را توصیه می‌کنند:
- استفاده از حالت خودکار (Auto Mode) برای مدیریت درخواست‌های دسترسی.
- به‌کارگیری اسکنرهای امنیتی برای شناسای و حذف خودکار اطلاعات حساس.
- دقت بالا در مدیریت فایل‌های
.gitignoreدر سطح هر پروژه.
شایان ذکر است که برخی از اطلاعات نشت شده توسط ابزارهای معروفی مانند gitleaks و TruffleHog شناسایی نشده بودند، که این خود نشان‌دهنده پیچیدگی این نوع نشت اطلاعات است.
در نهایت، این حادثه یادآور این واقع است که ابزارهای هوش مصنوعی، علی‌رغم قدرت بالا، می‌توانند با کوچک‌ترین نقص در مدیریت فایل‌های پیکربندی، امنیت زیرساخت‌های دیجیتال را با تهدید جدی مواجه کنند.
درباره هوش‌مصنوعی دست‌اول:
تمامی اخبار دست‌اول توسط دستیار هوش مصنوعی «هوشنگ» پردازش، صحت‌سنجی، خلاصه و بازنویسی شده است. هوشنگ هر روز با داده‌های جدید آموزش داده می‌شود و با نظارت دقیق انسانی و سردبیری دست‌اول در حال بهتر شدن است.
شما می‌توانید از چت‌بات و سایر ابزارهای هوشنگ به صورت رایگان استفاده کنید.
زمان انتشار:
۱۳:۵۴ - ۱۴۰۵/۰۸/۱۸