Comandos Salvos do Claude Code Vazam Segredos no GitHub
O assistente de IA da Anthropic pode estar armazenando credenciais sensíveis em repositórios públicos quando os usuários optam por não receber confirmações. Mais de 1.100 instâncias foram encontradas por pesquisadores de segurança.
TL;DR
- O Claude Code da Anthropic salva comandos completos, incluindo segredos, quando os usuários selecionam 'não perguntar novamente'
- A empresa de segurança Apiiro descobriu 1.122 arquivos públicos no GitHub contendo senhas e chaves de API vazadas
- O problema se origina do mecanismo de armazenamento de configurações do assistente de IA
- Desenvolvedores que utilizam a ferramenta devem auditar seus repositórios em busca de credenciais expostas
- Organizações devem revisar fluxos de trabalho de desenvolvimento assistido por IA em busca de riscos semelhantes
O assistente de codificação com IA da Anthropic, Claude Code, foi encontrado vazando credenciais sensíveis em repositórios do GitHub acessíveis publicamente. O problema ocorre quando desenvolvedores aprovam comandos contendo senhas ou chaves de API e escolhem a opção "Sim, e não pergunte novamente", que armazena o comando completo nos arquivos de configuração do projeto.
Pesquisadores de segurança da Apiiro descobriram mais de 1.122 instâncias dessas credenciais expostas, levantando sérias preocupações sobre como ferramentas de desenvolvimento com IA tratam informações sensíveis. Os dados vazados incluem tokens de autenticação, senhas de bancos de dados e outras chaves de acesso críticas que podem permitir acesso não autorizado a sistemas.
Como os Vazamentos Ocorrem
- O recurso 'não perguntar novamente' do Claude Code salva comandos aprovados completos em arquivos de configuração do projeto
- Esses comandos salvos frequentemente contêm segredos embutidos, como senhas, chaves de API e tokens
- Os arquivos de configuração são armazenados no diretório .claude dentro dos repositórios do projeto
- Quando os repositórios se tornam públicos, esses arquivos sensíveis ficam acessíveis para qualquer pessoa
- O recurso foi projetado para conveniência, mas cria riscos persistentes de armazenamento de credenciais
Impacto e Recomendações
- Mais de 1.122 repositórios públicos do GitHub contêm credenciais expostas provenientes do uso do Claude Code
- Segredos expostos incluem chaves de provedores de nuvem, senhas de bancos de dados e tokens de serviços de terceiros
- Atacantes podem usar essas credenciais para obter acesso não autorizado aos sistemas associados
- Equipes de desenvolvimento devem auditar imediatamente os repositórios em busca de arquivos de configuração do .claude
- Organizações devem implementar varreduras de credenciais em seus pipelines de CI/CD e monitoramento de repositórios
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.