لا تطلب مرة أخرى: كتبت كلمة المرور الخاصة بك في Git اكتشف Apiiro 2,539 سرًا في ملفات موافقة الوكلاء. حذف الملف لا يحل المشكلة. توجد 104,185 نسخة عامة من ملف .claude/settings.local.json لـ Claude Code على GitHub. منها 1,122 نسخة، أي حوالي 1.1%، تحتوي على سر واحد على الأقل. معًا، تحتوي هذه الملفات على 1,379 قيمة مختلفة. بإضافة سجل git والإعدادات المشتركة وسجلات الوكلاء، يصل Apiiro إلى 2,539 سرًا مختلفًا عبر 1,994 مستودعًا. ---------------------- إذًا، من دفع ثمن الراحة المتمثلة في ألا يُطلب منك مرة أخرى؟ 👇 🔹ما الذي يتم حفظه فعليًا🔹 يطلب Claude Code التأكيد قبل معظم أوامر shell. إذا اخترت "نعم، ولا تطلب مرة أخرى"، فإنه يمكنه تخزين الأمر الدقيق كقاعدة السماح في ملف .claude/settings.local.json. إذا كان هذا الأمر يحتوي على كلمة مرور أو رمز أو مفتاح، فإن القاعدة تحمله أيضًا. بنص عادي. أعاد Apiiro تكرار هذا السلوك باستخدام Opus 5.5 وFable 5.1. موافقة عادية، وليس اختراقًا. 🔹لماذا لا يزال الملف المحلي يُنشر علنًا🔹 عند الكتابة الأولى داخل مستودع git، يمكن لـ Claude Code إضافة الملف إلى قائمة الاستبعاد العالمية للمطور. هذا الملف موجود على جهاز واحد فقط. لا ينتقل مع المشروع، ولا يغطي ملفًا تم تتبعه بالفعل. أبدًا لا يكتب الأداة قاعدة الاستبعاد في ملف .gitignore الخاص بالمستودع. في 539 من أصل 1,105 مستودعات تتبعها Apiiro، غيّر التزام مُشارك من Claude ملف الإعدادات. نصف الملفات التي تحتوي على أسرار كانت موجودة على الفرع الافتراضي لمدة 217 يومًا على الأقل. 🔹ما الذي يتضمنه العدد وما لا يتضمنه🔹 في النسخ الحالية: أكثر من ثلث الأسرار تفتح قاعدة بيانات، بما في ذلك 379 كلمة مرور قاعدة بيانات. بالإضافة إلى 43 تسجيل دخول SSH لخوادم عامة. العدد الأكبر البالغ 2,539 يضيف الإصدارات الأقدم (734 سرًا في 509 مستودعات لم تعد موجودة في الملف الحالي)، والإعدادات المشتركة .claude/settings.json، وسجلات الوكلاء. لم يحاول Apiiro استخدام أي من هذه البيانات. تأكدت شركة واحدة أُبلغت أن مفتاحها المكشوف كان نشطًا. تم إثبات خطر التعرض، لكن لا يُدّعى هنا وجود اختراق فعلي. من بين 16 وكيل برمجة مقارنة وفقًا للوثائق، كان Claude Code هو الوحيد الذي تأكد أنه يكتب الأمر الكامل المعتمد في ملف مشروع بشكل افتراضي. من بين الملفات الـ 1,122 التي تحتوي على أسرار، حدد TruffleHog 643 وgitleaks 564. ولم يكتشف أي منهما 215. معظم التفويتات هي كلمات مرور داخل أوامر. تبحث الماسحات عن تنسيقات مفاتيح. 🔹نصائح قابلة للتنفيذ🔹 ▫️ غيّر كلمات المرور قبل التنظيف 📝 غيّر كل كلمة مرور ورمز ومفتاح حمله هذا الملف مطلقًا. حذف النسخة الحالية لا يمحو السجل أو النسخ الفرعية أو النسخ المتماثلة. ▫️ ضع قاعدة الاستبعاد داخل المستودع 📝 git rm --cached .claude/settings.local.json، ثم أضفه إلى ملف .gitignore الخاص بالمشروع. ▫️ وافق على الأنماط، وليس الأسرار 📝 فضّل قواعد بأسلوب Bash(npm run:*) . احتفظ بالبيانات الائتمانية كمتغيرات من مدير أسرار، وليس كقيم نصية مباشرة في الأمر الذي يخزنه Claude. ▫️ عامل مجلدات الوكلاء مثل .env 📝 المجلدات .claude/ و.cursor/ و.gemini/ يجب أن تخضع لفحص الأسرار، بما في ذلك السجل التاريخي، على أجهزة الكمبيوتر المحمولة وكذلك على الخوادم البعيدة. كان الهدف من الموافقة هو توفير الوقت. لكن الملف حفظ كلمة المرور. الراحة تتراكم. وكذلك السر الذي لم ينبغي أبدًا أن يكون خط تكوين. عندما تضغط على "لا تطلب مرة أخرى" على وكيل برمجة ذكي، ما الذي يتذكره بالضبط للمرة القادمة؟