Hàng nghìn thông tin nhạy cảm bao gồm mật khẩu và mã thông báo API đã bị rò rỉ trên các dự án mã nguồn mở do cấu hình lưu trữ của công cụ lập trình trí tuệ nhân tạo Claude Code. Sự cố xảy ra khi cấu hình tự động lưu lại các lệnh vỏ kèm theo dữ liệu bảo mật.

Bối cảnh và chi tiết công nghệ

Các nhà nghiên cứu an ninh mạng tại Apiiro phát hiện hàng nghìn thông tin bí mật gồm mật khẩu cơ sở dữ liệu, mã thông báo API và tài khoản gốc nằm trong các tệp cấu hình Claude Code xuất hiện trên GitHub.

Việc rò rỉ bắt nguồn từ cơ chế xử lý phê duyệt của người dùng đối với các lệnh vỏ tự động trong phần mềm.

Khi người dùng chọn phê duyệt vĩnh viễn một lệnh, lựa chọn đó cùng với toàn bộ thông tin nhạy cảm bên trong lệnh được lưu vào tệp .claude/settings.local.json trên máy tính cá nhân.

Tài liệu của Anthropic yêu cầu thêm tệp cấu hình này vào danh sách bỏ qua toàn cục gitignore để ngăn chặn việc chia sẻ công khai.

Đánh giá tác động và góc nhìn chuyên môn

Sự cố này minh họa rủi ro khi các công cụ hỗ trợ lập trình bằng trí tuệ nhân tạo tự động hóa quy trình làm việc cục bộ mà thiếu cảnh báo rõ ràng về việc dữ liệu nhạy cảm có thể bị ghi lại trong các tệp nhật ký hoặc cấu hình.

Xu hướng tiếp theo và điều cần theo dõi

Phạm vi chính xác của các kho lưu trữ bị ảnh hưởng và số lượng nhà phát triển đã vô tình đẩy các thông tin xác thực này lên môi trường công cộng vẫn chưa được thống kê đầy đủ.