Uygulama güvenliği şirketi Apiiro, yapay zeka aracı Claude Code’un geliştiricilerin saklı bilgilerinin GitHub’da yayımlanmasına karıştığını duyurdu. Şirket, 1994 herkese açık depoda 2539 geçerli parola ve anahtar buldu. Üstelik asıl sürpriz, sızıntıların en yaygın tarayıcıların bile gözünden kaçabilmesi.

Claude Code ayar evrakı tuzağı

Sorun, Claude Code’un komut müsaadelerini nasıl hatırladığından çıkıyor. Örneğin geliştirici “Yes, and don’t ask again” (Evet, bir daha sorma) seçeneğini işaretleyince araç, onaylanan komutu proje klasöründeki ayar evrakına olduğu üzere kaydediyor. Hasebiyle komutun içinde parola ya da erişim anahtarı varsa o da belgeye yazılıyor.

Bu yol, tıpkı süreci tekrar tekrar onaylamak zorunda kalmamak için pratik. Fakat belge kod ile birlikte yayımlanırsa bilgiler de açığa çıkıyor.

Bulunan bâtın bilgiler arasında veritabanı parolaları, API jetonları, root yetkili SSH bilgileri ve yönetici ayrıcalığı olan bulut anahtarları var. Ayrıyeten bâtın bilgi bulunan 1105 depodan 539’unda Claude, bu bilgiyi içeren belgenin commit’ine katılmış. Commit, koddaki değişikliklerin kaydı demek.

Etkilenenler ve sızan veriler

Apiiro, bu tıp evrakların 103.617 GitHub deposunda 104.185 herkese açık kopyasını tespit etti. Fakat bunların 1994’ünde gerçek bâtın bilgiler vardı. Etkilenenlerin birden fazla ferdî geliştirici. Yeniden de 63 kurum da listede: teşebbüsler, yazılım şirketleri ve büyük yazılım sağlayıcıları.

Örneğin raporda bir veritabanı sağlayıcısının yönetici seviyesindeki bulut anahtarı, Azure PostgreSQL üretim veritabanı parolası, çalışan bir Square jetonu ve bir tıbbi kayıt veritabanının sahip parolası sayılıyor.

Claude Code tedbir almaya çalışıyor. Belgeyi oluştururken geliştiricinin genel .gitignore listesine ekliyor. Bu liste, Git’in sürüm denetimine almaması gereken belgeleri belirtir. Ama müdafaa her durumda işlemiyor.

Özellikle mevcut bir klasörün içinde sonradan oluşturulan depolarda, projenin diğer bilgisayarlardaki kopyalarında ve geliştiricinin daha evvel depoya eklediği belgelerde devreye girmiyor. Bunun yanı sıra genel kural projenin kendi .gitignore belgesine da yazılmadığından başka takım üyelerine geçmiyor.

Tarayıcılar sebep kaçırıyor?

Gitleaks ve TruffleHog üzere tanınan tarayıcılar genelde bilinen servis önekleri ile uzun rastgele karakter dizilerini arıyor. Buna rağmen PGPASSWORD= ile verilen, sshpass -p ile aktarılan ya da mysql -p sonrasında yazılan bir parola tarayıcıya sıradan metin üzere görünüyor. Hatta curl komutlarının yetkilendirme başlıklarındaki jetonlar da gözden kaçabiliyor.

Sorun sadece Claude Code ile hudutlu değil. Apiiro, yapay zeka casuslarıyla yapılan yazışma geçmişlerinde, hafıza belgelerinde, misyon bölüm ve dağıtım notlarında ve VS Code Copilot’un otomatik komut onayı ayarlarında da bâtın bilgi buldu. Gerçekten misal evraklar Hugging Face ve GitLab depolarında da vardı. Son olarak araştırmacılar, bilgilerin yayımlanmış paketlere, Docker imajlarına ve proje arşivlerine de ulaşabileceği ihtarını yapıyor.

Claude Code geliştirme ekibinin lideri Boris Cherny, Anthropic’in bu cins sızıntıları önlemenin yollarını incelediğini doğruladı. Ayrıyeten ayar belgesinin sürüm denetiminde yayımlanmak üzere tasarlanmadığını, bulunan hadiselerin geliştiricilerin belgeyi elle oluşturup depoya eklemesinden kaynaklandığını söyledi. Bununla birlikte Cherny, müsaade ve yasak listelerini elle yönetmek yerine daha inançlı olan Auto modunun kullanılmasını önerdi. Birebir vakitte GitHub’da kapalı bilgi taramasının, hangi yapay zeka aracı kullanılırsa kullanılsın açılmasını da tavsiye etti.

Apiiro ise düz metin kapalı bilgi içeren tüm kuralların silinmesini ve ele geçmiş her parolanın ya da anahtarın çabucak değiştirilmesini öneriyor. Belgeyi silmek yetmiyor, zira içerik Git geçmişinde, sürümlerde ve mahallî kopyalarda kalabilir. Bunun yanı sıra bilgiler komuta yazılmak yerine, saklı bilgi yöneticilerindeki pahalara bağlanan ortam değişkenleriyle verilmeli. claude, cursor, gemini ve specstory klasörleri ile yapay zeka casusu hafıza belgeleri da .env üzere hassas kabul edilmeli.

Kaynak: Shiftdelete