Claude Code Güvenlik Açığı: GitHub'da Binlerce Gizli Veri Sızdı

Yapay zeka tabanlı kodlama asistanı Claude Code, ayar dosyalarının yönetimiyle ilgili bir eksiklik nedeniyle GitHub üzerindeki halka açık depolarda hassas verilerin sızmasına yol açtı. Apiiro güvenlik araştırmacıları tarafından tespit edilen açık sonucunda; veritabanı şifreleri, API tokenları ve root giriş bilgileri gibi kritik verilerin binlerce örnekle internete düştüğü ortaya çıktı.

Sızıntı Nasıl Gerçekleşiyor?

Söz konusu güvenlik zafiyeti, Claude Code'un otomatik kabuk (shell) komutları için kullanıcıdan onay alma mekanizmasından kaynaklanıyor. Kullanıcı, bir komut için "Evet, bir daha sorma" seçeneğini işaretlediğinde, bu tercih yerel bilgisayardaki .claude/settings.local.json dosyasına kaydediliyor. Ancak bu işlem sırasında, komutun içerisindeki hassas bilgiler (şifreler veya anahtarlar) herhangi bir maskeleme yapılmadan doğrudan dosyanın içine yazılıyor.

Dosya Paylaşımı ve Risk Faktörü

Normal şartlarda bu ayar dosyası kullanıcının yerel makinesinde kaldığı sürece bir risk oluşturmuyor. Anthropic, resmi dokümantasyonunda bu dosyanın geliştiricinin global .gitignore listesine eklendiğini ve böylece kamuya açık paylaşımın engellendiğini belirtiyor. Ancak, git yapılandırmasında hata yapan veya bu dosyayı yanlışlıkla repoya dahil eden kullanıcıların gizli verileri, GitHub üzerinden tüm dünyanın erişimine açık hale geliyor.