Des mots de passe, des clés d’accès et des identifiants confidentiels ont été rendus publics sur Internet à la suite d’une négligence liée à Claude Code, l’assistant de programmation développé par Anthropic. La société de cybersécurité Apiiro a identifié des milliers de données sensibles publiées sans protection sur GitHub, la plateforme utilisée par les développeurs pour partager des projets logiciels. Par ailleurs, cette situation résulte d’une fonctionnalité conçue pour accélérer le travail.
Lorsqu’un utilisateur autorise une opération en choisissant de ne pas recevoir de demandes de confirmation supplémentaires, le programme enregistre cette décision dans un fichier sur l’ordinateur. En plus, si la commande contient des mots de passe ou des codes de service, ces éléments sont également enregistrés dans le même document. D’autre part, ces fichiers devraient normalement rester sur l’ordinateur de l’utilisateur. Qui plus est, les experts indiquent que les paramètres empêchant le partage en ligne sont souvent défaillants lorsque le projet est copié sur un autre appareil ou configuré ultérieurement, ce qui entraîne le téléchargement automatique de données sensibles sur Internet.
L’enquête a révélé plus de cent mille cas de documents téléchargés publiquement, dont plus d’un millier impliquant des mots de passe et des identifiants d’entreprise. En sus, une fois publiées, ces données peuvent rester visibles dans les copies créées par d’autres utilisateurs, même si le fichier original est supprimé. Par conséquent, l’exposition persiste au-delà de la suppression du document initial.
Les développeurs du programme ont annoncé travailler à une solution pour prévenir ce problème. À cela s’ajoute la recommandation d’utiliser des outils d’audit pour vérifier la présence de données sensibles dans les projets.