Claude Code, oltre mille casi di password e credenziali esposte su GitHub

Oltre 100mila file pubblicati online, più di mille casi in cui erano presenti password e credenziali riservate. È quanto emerso da un'indagine della società di sicurezza informatica Apiiro. Al centro della vicenda c'è Claude Code, l'assistente per la programmazione sviluppato da Anthropic, e un meccanismo che può portare alla diffusione involontaria di informazioni sensibili sulla piattaforma GitHub. 

Il problema riguarda una funzione progettata per semplificare il lavoro degli sviluppatori. In determinate circostanze, però, le autorizzazioni memorizzate dal programma possono contenere dati che non dovrebbero mai essere condivisi pubblicamente.

Claude Code, come possono finire online password e dati riservati

L'origine del problema è legata alla gestione delle autorizzazioni di Claude Code. Quando un utente consente al programma di eseguire un'operazione senza chiedere ulteriori conferme, questa scelta viene registrata in un file presente sul computer. Se il comando autorizzato contiene password, chiavi di accesso o credenziali di servizio, anche queste informazioni possono essere memorizzate nello stesso documento. In condizioni normali, il file dovrebbe rimanere sul dispositivo dell'utente. 

Secondo quanto rilevato dagli esperti di Apiiro, tuttavia, i meccanismi che dovrebbero impedirne la condivisione possono risultare inefficaci quando un progetto viene trasferito su un altro computer oppure configurato successivamente. È in queste circostanze che informazioni destinate a rimanere private possono essere caricate su GitHub, piattaforma utilizzata dagli sviluppatori per conservare e condividere progetti software.

Oltre 100mila file pubblici su GitHub: il rischio delle credenziali esposte

L'indagine di Apiiro ha individuato oltre 100mila casi di file pubblicati senza protezione. Un numero considerevole, che però non corrisponde automaticamente ad altrettante password compromesse. Sono oltre mille i casi in cui i documenti contenevano effettivamente password e credenziali aziendali. La distinzione è importante: non tutti i file individuati contenevano informazioni riservate, ma quelli che le includevano potevano renderle accessibili pubblicamente. 

Un ulteriore problema riguarda la permanenza dei dati su internet. Anche dopo l'eliminazione del documento originale, infatti, le informazioni potrebbero continuare a essere disponibili nelle copie del progetto realizzate da altri utenti. La rimozione del file, quindi, non garantisce necessariamente che le credenziali siano scomparse dalla rete.

La risposta degli sviluppatori e come prevenire il problema

Gli sviluppatori di Claude Code hanno comunicato di essere al lavoro su una soluzione per prevenire la pubblicazione involontaria di queste informazioni. Nel frattempo, viene consigliato l'utilizzo di strumenti di controllo capaci di individuare eventuali dati riservati all'interno dei progetti software prima della loro condivisione. Il caso evidenzia un aspetto preciso della sicurezza informatica: anche un'autorizzazione concessa per velocizzare il lavoro può trasformarsi in un rischio quando viene conservata insieme a informazioni sensibili. 

Per chi utilizza strumenti di programmazione assistita dall'intelligenza artificiale, l'attenzione non deve quindi riguardare soltanto il codice condiviso, ma anche i file che registrano configurazioni, comandi e autorizzazioni.