Claude Code, özellikle kodlama bilmeden de bir uygulama geliştirmek isteyenlerin son zamanlarda gözdesi konumunda. Geliştiricilerin de işini epey kolaylaştırıyor. Gelgelelim, bütün bu artılarına rağmen dikkat edilmediği takdirde oldukça büyük sorunlarla karşılaşmanıza sebep olma potansiyeli var.
Bunun en önemli örneklerinden biri çok yakın zamanda görüldü. Apiiro araştırmacıları, aracın kaydettiği yapılandırma dosyalarında veritabanı ile ilgili bilgiler, API anahtarları ve SSH kimlik bilgileri tespit etti. Daha da can sıkıcı tarafı, bu dosyaların bir kısmı, herkese açık GitHub depolarına yüklenmiş durumda.
Claude Code’un Hangi Özelliği Güvenlik Sorununa Yol Açtı?
Bildiğiniz üzere Claude Code, terminal komutlarını çalıştırmadan önce kullanıcıdan izin istiyor. Geliştirici, onaylayıp bir daha sormamasını seçtiğinde ise araç aynı komut için tekrar tekrar onay istemiyor. Onaylanan komutlar “.claude/settings.local.json” dosyasına kaydediliyor.
Komut satırında bir veritabanı parolası ya da API anahtarı varsa bunlar da dosyaya yazılıyor. Geliştirici açısından oldukça pratik görünebilir ama hassas bilgilerin yapılandırma dosyasında saklanmasına da neden oluyor. Normal şartlarda dosyanın GitHub’a gönderilmemesi gerekiyor. Anthropic, dosyayı kullanıcının genel Git ignore listesine ekleyerek paylaşılmasını engellemeye çalışıyor.
Sorun şu ki proje başka bir bilgisayara klonlandığında veya mevcut bir klasör sonradan Git deposuna dönüştürüldüğünde bu önlem her zaman çalışmıyor. Bazı durumlarda Claude Code’un kendi yaptığı değişiklikleri de doğrudan depoya kaydettiği belirtiliyor.
GitHub’da Hangi Şifreler ve Erişim Anahtarları Bulundu?
Apiiro’nun araştırmasında herkese açık GitHub depolarında 104 binden fazla “.claude/settings.local.json” kopyası bulundu. Bunların 1.122 tanesinde gerçek kimlik bilgileri yer alıyordu. Araştırmacılar, Git geçmişini ve diğer paylaşılan dosyaları da inceleyerek yaklaşık 2 bin depoda 2.539 farklı gizli bilgi tespit etti.
Bulunan bilgiler arasında veritabanı şifreleri, bulut hizmetlerine erişim anahtarları, API tokenları ve özel SSH kimlik bilgileri var. Bazı depoların yazılım geliştiricileri ve hizmet sağlayıcıları gibi şirketlere ait olması, açığa çıkan bilgilerin şirket sistemlerine erişim amacıyla kullanılabileceği anlamına geliyor.
Anthropic, Claude Code’daki Sorunu Nasıl Çözecek?
Anthropic, güvenlik açığından haberdar olduğunu ve yeni tedbirler üzerinde çalışmalara devam edildiğini açıkladı. Claude Code ekibinin başındaki Boris Cherny ise araca gizli bilgi tarama sistemi eklenmesi ve komut izinlerinin çalışma biçiminin değiştirilmesi gibi seçeneklerin şu an değerlendirilme aşamasında olduğunu aktardı.