Cảnh báo Claude Code lộ khóa trong hàng nghìn tệp trên GitHub
Nguy cơ Claude Code lộ khóa xuất hiện khi công cụ lưu thông tin bảo mật vào kho mã nguồn. Theo điều tra, 1.122 tệp cấu hình công khai trên GitHub đang để lộ bí mật xác thực. Chúng tôi nhận định đây là lỗ hổng quy trình nghiêm trọng trong thiết kế quyền hạn của Anthropic.
Cơ chế ghi nhớ lệnh khiến Claude Code lộ khóa xác thực
Khi thực thi lệnh chạy hệ thống, Claude Code hiển thị hộp thoại xin phép nhà phát triển.
Nếu người dùng chọn không hỏi lại, phần mềm sẽ lưu nguyên văn câu lệnh được duyệt.
Tệp cấu hình lưu trữ mang tên settings.local.json nằm ngay trong thư mục làm việc của dự án.
Điều này biến mọi khóa API hoặc mật khẩu truyền trong câu lệnh thành văn bản thuần.
Theo phản ánh trên GitHub, vấn đề đã được ghi nhận tại issue 5.544 từ tháng 8/2025.
Tuy nhiên, hệ thống bot tự động đã đóng yêu cầu xử lý sau 60 ngày không có tương tác.
Anthropic thiết lập tính năng bỏ qua tệp ở cấp độ máy tính cá nhân thay vì kho lưu trữ.
Khi lập trình viên chuyển mã sang máy khác, tệp bảo mật lập tức bị đẩy lên mạng.
Quy mô rò rỉ ảnh hưởng trực tiếp tới 63 tổ chức phần mềm
Theo thống kê từ CellCog, đợt rà soát ghi nhận 104.185 bản sao tệp cấu hình trên GitHub.
Trong số đó, các chuyên gia phát hiện 1.379 bí mật ở nhiều dự án.
Danh sách khóa bị lộ bao gồm 379 mật khẩu cơ sở dữ liệu quan trọng.
Theo bài viết trên The Hacker News, sự cố đã tác động tới 63 tổ chức doanh nghiệp.
Tại một nửa số kho lưu trữ, tệp chứa bí mật đã nằm trên nhánh chính suốt 217 ngày.
Đáng chú ý, 539 kho mã ghi nhận commit thay đổi tệp do chính Claude đồng tác giả.
Tính cả các bản sao cũ và nhật ký chat, con số lên tới 2.539 bí mật. Lượng rò rỉ này phân bổ tại 1.994 kho lưu trữ.
Các công cụ tự động cũng bộc lộ hạn chế lớn khi kiểm tra các cấu hình này.
Trong khi TruffleHog bắt được 643 tệp và gitleaks tìm thấy 564 tệp, cả hai đều bỏ sót 215 tệp.
Khoảng 19% số tệp chứa bí mật đã lọt qua các bộ lọc quét tự động.
Biện pháp ngăn Claude Code lộ khóa trên kho lưu trữ
Công cụ như AI agent khác chatbot ở khả năng can thiệp sâu vào hệ thống.
Để phòng ngừa rủi ro Claude Code lộ khóa, chuyên mục bảo mật khuyến nghị ba bước xử lý:
- Kiểm tra thư mục dự án và xóa lệnh chứa mật khẩu trong tệp cấu hình.
- Thu hồi và cấp lại toàn bộ khóa đám mây cùng tài khoản dữ liệu liên quan.
- Thêm ngay đường dẫn tệp cấu hình Claude vào tệp gitignore của dự án.
Nguồn tham khảo
