Claude Code: خيار «لا تسأل مجددًا» تسبب في تسريب كلمات مرور على GitHub
كان Claude Code يحفظ الأوامر الموافق عليها مع كلمات المرور بنص صريح في ملف محلي. وعثر باحثو Apiiro على بيانات اعتماد في مستودعات GitHub العامة.
SUMO· لغز الأرقام
Dialo· تعلّم اللغات بالتحدث
ediviewer· اقرأ ملفات EDI كالمستندات
giftdetect· الهدية المناسبة في دقائقتحول خيار «نعم ولا تسأل مجددًا» في Claude Code إلى مصدر لتسريب بيانات حساسة. فقد توصل باحثو شركة Apiiro إلى أن الأمر الموافق عليه كان يُحفظ حرفيًا مع كلمات المرور المكتوبة فيه، وقد ينتهي به المطاف في مستودعات GitHub العامة.
كيف حدث التسريب
يعمل Claude Code في وضع تلقائي، لكنه يسأل المستخدم عن كيفية المتابعة عند اتخاذ قرار مهم. وللحد من كثرة الأسئلة، تتيح الأداة هذا الخيار. وعند تفعيله يُكتب الأمر في الملف «.claude/settings.local.json» داخل مجلد المشروع، وإذا كان الأمر يتضمن كلمة مرور فإنها تُخزَّن بنص صريح.
هذا الملف غير مخصص للمشاركة، ويوجد على جهاز المطوّر لا في المستودع. لكن إن كان قد رُفع إلى المستودع سابقًا، أو كان جهاز آخر يعمل على المشروع، فإن محتواه ينتقل إلى GitHub مع الشيفرة. وبحسب Apiiro تسربت كلمات مرور قواعد البيانات، وبيانات الدخول إلى خوادم SSH، ومفاتيح خاصة، ورموز GitHub، ومفاتيح AWS.
حجم الظاهرة ورد Anthropic
تتزامن المشكلة مع ازدهار ما يُعرف بـ vibecoding. فبحسب تقرير GitHub Octoverse 2026 سُجّل خلال 12 شهرًا حتى 30 سبتمبر نحو 17.9 مليار عملية push و34.3 مليار commit، وهو عدد push يفوق مجموع عامي 2024 و2025. وفي سبتمبر جاء أكثر من 40% من طلبات pull request من وكلاء ذكاء اصطناعي، مقابل 17% في مارس.
لم تنشر Anthropic بيانًا رسميًا، لكن بوريس تشيرني، المسؤول عن Claude Code، ردّ على Hacker News. وأقرّ بأن الأداة لم تكن تنظّف الأسرار من البيانات التي تحفظها. وأوضح أن الملف مخصص للبقاء محليًا، وأن Claude Code يستبعده من Git عند إنشائه، ويرى بالتالي أن الملفات المسرّبة أُنشئت يدويًا ورُفعت لاحقًا.
وينصح تشيرني باستخدام الوضع التلقائي وتفعيل فحص الأسرار في المستودع. ويختبر الفريق كذلك تحسينين: كشف تسريب البيانات في الوضع التلقائي، وماسحًا أساسيًا مدمجًا للأسرار. ولم يُحدَّد موعد لأي منهما.
تطبيقات تستحق النظر
SUMO: لغز الأرقاماختر المربعات الصحيحة واجمعها وحقّق الهدف. سهل التعلم، صعب الإتقان. مجاني، لجميع الأعمار.
Dialo: تعلّم اللغات بالتحدثتحدّث مع شريك محادثة بالذكاء الاصطناعي؛ تعود كل جملة مصحّحة ومشروحة بلغتك. 9 لغات، من A1 إلى C2.
ediviewer: اقرأ ملفات EDI كالمستنداتافتح رسائل EDIFACT وX12 مع شرح كل مقطع، وحوّلها إلى JSON/XML، وصدّرها إلى PDF وExcel. يعمل محليًا دون رفع.
giftdetect: الهدية المناسبة في دقائقاختر لمن الهدية والمناسبة والشخصية. يقرأ محرك البحث أوصاف المنتجات من المتاجر المحلية ويرتّب ما يناسب. مجاني، بلا تسجيل.
المزيد من هذا اليوم
عرض الكل →
Beget تعيد أولى مواقع الاستضافة المشتركة من النسخ الاحتياطية
مطوّر ArtCraft يطلق بدائل مفتوحة المصدر لـ Word وExcel
جوجل تطلق Gemini 4 Carbon لجميع المستخدمين والمطورين
بوسطن ديناميكس تزوّد الروبوت البشري Atlas بعجلات
المزيد في: الأمن السيبراني
عرض الكل →
فرنسا تتهم إيران باختراق ثلاجات 700 سوبرماركت
اختراق معهد الأمن المالي الكوري وتسريب بيانات تقييم الشركات
اختراق Sharefull: تسريب محتمل لبيانات 7.5 ملايين حساب
