Osegi
Güvenlik·1 dk okuma

Claude Code'un “bir daha sorma” seçeneği GitHub'da parolaları sızdırdı

Claude Code onaylanan komutları parolalarla birlikte yerel bir dosyaya düz metin olarak kaydetti. Apiiro araştırmacıları, kimlik bilgilerinin herkese açık GitHub depolarına ulaştığını buldu.

A developer's code editor showing an AI coding assistant permission prompt next to a warning about exposed passwords and API keys.
Görsel: xataka.com
SUMODialoediviewergiftdetect

Claude Code'daki “Evet, bir daha sorma” seçeneği, hassas verilerin sızmasına yol açtı. Apiiro araştırmacılarına göre onaylanan komut, içindeki parolalarla birlikte olduğu gibi kaydediliyor ve buradan herkese açık GitHub depolarına ulaşabiliyordu.

Sızıntı nasıl oluyordu

Claude Code otomatik modda çalışabiliyor, ancak önemli bir karar gerektiğinde kullanıcıya nasıl devam edeceğini soruyor. Sürekli soru sormamak için araç bu seçeneği sunuyor. İşaretlendiğinde komut, proje klasöründeki “.claude/settings.local.json” dosyasına yazılıyor. Komutta parola varsa, düz metin olarak saklanıyordu.

Bu dosyanın paylaşılması amaçlanmıyor; geliştiricinin bilgisayarında duruyor, depoda değil. Ancak dosya daha önce depoya eklenmişse ya da projede başka bir bilgisayar çalışıyorsa içerik kodla birlikte GitHub'a gidiyor. Apiiro'ya göre veritabanı parolaları, SSH sunucu girişleri, özel anahtarlar, GitHub token'ları ve AWS anahtarları sızdı.

Ölçek ve Anthropic'in yanıtı

Sorun, vibecoding'in yükselişiyle aynı döneme denk geliyor. GitHub'ın Octoverse 2026 raporuna göre 30 Eylül'e kadarki 12 ayda 17,9 milyar push ve 34,3 milyar commit kaydedildi; push sayısı 2024 ve 2025'in toplamını aşıyor. Eylül'de pull request'lerin %40'ından fazlası yapay zekâ ajanlarından geldi; mart ayında bu oran %17'ydi.

Anthropic resmi bir açıklama yayımlamadı, ancak Claude Code sorumlusu Boris Cherny Hacker News'te yanıt verdi. Aracın kaydettiği verilerdeki gizli bilgileri hiçbir zaman temizlemediğini kabul etti. Dosyanın yerel kalması amaçlandığını, Claude Code'un dosyayı oluştururken Git'ten hariç tuttuğunu belirten Cherny'ye göre sızan dosyalar elle oluşturulmuş ve sonradan yüklenmişti.

Cherny, otomatik modun kullanılmasını ve depoda gizli bilgi taramasının açılmasını öneriyor. Ekip ayrıca iki iyileştirmeyi test ediyor: otomatik modda veri sızıntısının algılanması ve yerleşik basit bir gizli bilgi tarayıcısı. İkisi için de tarih verilmedi.

Göz atmaya değer uygulamalar

SUMO: sayı bulmacası

Doğru kareleri seçin, toplayın, hedefe ulaşın. Öğrenmesi kolay, ustalaşması zor. Ücretsiz, her yaşa uygun.

Dialo: konuşarak dil öğrenin

Yapay zekâ sohbet partneriyle konuşun; her cümleniz düzeltilip kendi dilinizde açıklanarak geri gelsin. 9 dil, A1'den C2'ye.

Etiketler:claude codeanthropicgithubapiirosecrets leakvibecoding

Aynı günden diğer haberler

Tümünü gör →

Daha fazla: Güvenlik

Tümünü gör →