باحثون: ملفات إعداد Claude Code كشفت كلمات سر ومفاتيح API في مستودعات عامة على GitHub

يوم 9 نوفمبر 2026 نشرت Ars Technica عن بحث من شركة Apiiro الأمنية: Claude Code يسرّب معلومات حساسة في مستودعات GitHub العامة.

السبب: لما تختار «Yes, and don't ask again» عشان تسمح بأمر، يُحفظ الأمر كامل في ملف .claude/settings.local.json، ولو فيه كلمة سر أو مفتاح ينحفظ معه.

الملف المفروض يبقى على جهازك، لكنه أحيانًا ينرفع مع المشروع، مثلًا لو نسخت المشروع لجهاز ثاني أو حوّلت مجلد لمستودع.

الباحثين لقوا أكثر من 100 ألف ملف من هذا النوع على GitHub، منها حوالي 1,100 فيها أسرار مثل مفاتيح API وكلمات سر قواعد بيانات، و215 منها ما اكتشفتها أدوات الفحص المشهورة.

Boris Cherny من فريق Claude Code قال إنهم يدرسون الحل. لو تستخدم Claude Code: تأكد إن الملف مضاف لـ .gitignore في كل مشروع، واستخدم أداة فحص أسرار قبل الرفع.