2,539 سراً مكشوفاً على GitHub بعضها من ملف إعدادات Claude Code

كيف يحدث التسريب؟

عندما تطلب من Claude Code فحص قاعدة بيانات أو استدعاء API، يقترح أمراً يحمل السر من ملف الإعدادات. وإذا اخترت «Yes, and don't ask again»، يحفظ الأمر كما هو، بالسر، في الملف .claude/settings.local.json داخل مجلد المشروع. ولا شيء في المستودع يعلّم هذا الملف كخاص، فيُرفع مع بقية الكود.

صحيح أن Claude Code يضيف الملف إلى قائمة التجاهل العامة لـ Git على جهاز المطور، لكن هذه القاعدة لا تُكتب في ملف .gitignore الخاص بالمشروع، فلا تنتقل معه إلى أجهزة أخرى.

الأرقام

• فحص الباحثون 104,185 نسخة عامة من الملف، فوجدوا أسراراً حقيقية في 1,122 منها، وفيها 1,379 سراً مختلفاً.
• في 539 من أصل 1,105 مستودعات فيها أسرار، عدّل الملفَ commit شارك Claude Code في كتابته.
• ومن بين ما ظهر كلمة مرور بيئة الإنتاج لقاعدة Azure Postgres، وتوكن إنتاج تابع لـ Square، وكلمة مرور مالك قاعدة سجلات طبية.

وقال مسؤول Claude Code في Anthropic إن الشركة تدرس حلولاً، منها فحص الأسرار تلقائياً في الإصدار القادم.

ماذا تفعل؟

1. ابحث في مشاريعك عن .claude/settings.local.json، واحذف كل قاعدة تحتوي سراً.
2. غيّر كل بيانات دخول ظهرت في هذا الملف يوماً، حتى لو لم يُرفع.
3. أضف مجلد .claude/ إلى .gitignore الخاص بكل مشروع.
4. على فرق الأمن إضافة مجلدات وكلاء AI إلى فحص الأسرار قبل الـ commit، وفي تاريخ المستودع أيضاً.