В результате уязвимости в Claude Code, разработанном компанией Anthropic, пароли и ключи API, вводимые разработчиками в одобренные команды, оказались в открытых репозиториях на GitHub, доступных для всех желающих. Проблема возникает, когда пользователь выбирает опцию "Да, и больше не спрашивать". В этом случае ИИ-ассистент сохраняет команду дословно, включая секретные данные, в файле настроек проекта.

По данным компании по кибербезопасности Apiiro, в настоящее время в открытом доступе находится 1,122 копии файлов, содержащих конфиденциальные данные. Это создает серьезные риски для безопасности, так как злоумышленники могут использовать эти данные для доступа к различным сервисам и системам.

Эксперты подчеркивают, что данная уязвимость может привести к утечке данных и компрометации приложений, если разработчики не проявят должной бдительности. Пользователям рекомендуется внимательно следить за тем, какие данные они вводят в команды и какие настройки выбирают при использовании ИИ-ассистентов.

Apiiro советует разработчикам регулярно проверять свои репозитории на наличие подобной информации и удалять конфиденциальные данные из публичного доступа. Также важно использовать инструменты для автоматической проверки безопасности кода, чтобы минимизировать риски утечек в будущем.

Компания Anthropic уже уведомлена о проблеме и, вероятно, будет работать над исправлением этой уязвимости в ближайшие обновления. Тем не менее, пользователям следует проявлять осторожность и избегать хранения секретной информации в коде, который может стать общедоступным.

Источник новости:
The Hacker News

Читать полностью