Claude Code نىڭ «قايتا سورىما» ھۆججىتى GitHub تا 1122 پارول ۋە ئاچقۇچنى ئاشكارىلىدى

يۇمشاق دېتال بىخەتەرلىكى شىركىتى Apiiro 5-نويابىر ئېلان قىلغان تەتقىقاتىدا، Anthropic نىڭ سۈنئىي ئىدراك كودلاش ياردەمچىسى Claude Code ئىشلەتكۈچى تەستىقلىغان بۇيرۇقلارنى ئىچىدىكى پارول ۋە ئاچقۇچلىرى (API key) بىلەن قوشۇپ ئاددىي تېكىست ھالىتىدە ساقلايدىغانلىقىنى، بۇ ھۆججەتلەرنىڭ مىڭدىن ئارتۇق ئاممىۋى GitHub ئامبىرىغا چىقىپ كەتكەنلىكىنى ئاشكارىلىدى.

مەخپىي ئۇچۇر ھۆججەتكە قانداق كىرىپ قالىدۇ؟

Claude Code سۈكۈتتە كۆپىنچە قېپ (shell) بۇيرۇقلىرىنى ئىجرا قىلىشتىن بۇرۇن رۇخسەت سورايدۇ. ئىشلەتكۈچى Yes, and don't ask again نى تاللىسا، قورال تۈر قىسقۇچىدىكى .claude/settings.local.json ھۆججىتىگە بىر رۇخسەت قائىدىسى يازىدۇ. بۇ قائىدە بەزىدە npm test * غا ئوخشاش ئەندىزە، بەزىدە پۈتۈن بىر بۇيرۇق بولىدۇ. پۈتۈن بۇيرۇق ساقلانغاندا، ئۇنىڭغا يېزىلغان پارول ياكى توكەن (token) مۇ شۇ پېتى ساقلىنىپ قالىدۇ.

Claude Code بۇ ھۆججەتنى ئىشلەتكۈچىنىڭ ئومۇمىي git چىقىرىۋېتىش تىزىملىكىگە (global git excludes) قوشىدۇ، لېكىن تۈرنىڭ ئۆز .gitignore ھۆججىتىگە قوشمايدۇ. شۇڭا بۇ قوغداش پەقەت بىر كومپيۇتېردىلا كۈچكە ئىگە، ئاللىبۇرۇن commit قىلىنغان ھۆججەتكە تەسىر قىلمايدۇ.

سانلار نېمىنى كۆرسىتىدۇ؟

• ئاممىۋى GitHub تا 103617 ئامباردا ھۆججەتنىڭ 104185 نۇسخىسى تېپىلغان؛ بۇنىڭ 1122 سى (تەخمىنەن 1.1%) دا كەم دېگەندە بىر مەخپىي ئۇچۇر بار، جەمئىي 1379 خىل.
• ئۈچتىن بىرىدىن كۆپرەكى سانداننى بىۋاسىتە ئاچالايدۇ، جۈملىدىن 379 ساندان پارولى. يەنە 43 SSH كىرىش ئۇچۇرى، GitHub، GitLab ۋە npm نىڭ 42 توكېنى ۋە 23 AWS ئاچقۇچى بار.
• ھۆججەتنىڭ كونا نەشرلىرى، ئورتاق .claude/settings.json ھۆججىتى ۋە ساقلانغان ئاگېنت سۆھبەت خاتىرىلىرىنى قوشقاندا، 1994 ئامباردا جەمئىي 2539 مەخپىي ئۇچۇر بار.
• ئۇقتۇرۇش قىلىنغان بىر شىركەت ئۆز ئاچقۇچىنىڭ ئىشلەۋاتقانلىقىنى جەزملەشتۈرگەن. Apiiro قالغان ئاچقۇچلارنى سىناپ باقمىغان.

ئومۇملاشقان gitleaks ۋە TruffleHog سىكانېرلىرى بۇ 1122 ھۆججەتنىڭ 215 دىكى مەخپىي ئۇچۇرنى بايقىيالمىغان، چۈنكى PGPASSWORD= ياكى mysql -p دىن كېيىنكى پارول ئادەتتىكى بىر سۆزدەك كۆرۈنىدۇ. تەتقىقاتچىلار سېلىشتۇرغان 16 كودلاش ئاگېنتى ئىچىدە، پۈتۈن بۇيرۇقنى سۈكۈتتە تۈر ھۆججىتىگە ساقلايدىغىنى پەقەت Claude Code ئىكەن.

ئاچقۇچىلار نېمە قىلىشى كېرەك؟

1. ئالدى بىلەن بۇ ھۆججەتلەردە ئىلگىرى بولغان بارلىق پارول، توكەن ۋە ئاچقۇچلارنى ئالماشتۇرۇڭ (rotate)؛ ھۆججەتنى ئۆچۈرۈش يېتەرلىك ئەمەس، چۈنكى git تارىخى ۋە fork لاردا قالىدۇ.
2. git rm --cached .claude/settings.local.json ئارقىلىق ھۆججەتنى ئىز قوغلاشتىن چىقىرىپ، تۈرنىڭ .gitignore ىغا قوشۇڭ.
3. يەرلىك ھۆججەتنى ئېچىپ، مەخپىي ئۇچۇر بار قائىدىلەرنى ئۆچۈرۈڭ.
4. بۇيرۇققا مەخپىي ئۇچۇرنى بىۋاسىتە يازماي، $DB_URL غا ئوخشاش ئۆزگەرگۈچى ئىشلىتىڭ؛ يەككە بۇيرۇق ئەمەس، Bash(npm run:*) غا ئوخشاش ئەندىزىنى تەستىقلاڭ.

The Hacker News نىڭ خەۋىرىچە، بۇ مەسىلە ھەققىدە ئىلگىرى يوللانغان تۆت خاتالىق دوكلاتىنى ئاپتوماتىك بوت تاقىۋەتكەن، Anthropic جاۋاب بەرمىگەن. i10x نىڭ يېزىشىچە، 8-نويابىرغىچە Anthropic بۇ مەسىلىنى تۈزەتكەنلىكى توغرىسىدا ئاشكارا بايانات ئېلان قىلمىغان.