Hesla a klíče na veřejném GitHubu: Jak jedno kliknutí v AI asistentu ohrozilo tisíce firem

Redakce noviny.ai Technologie
Hesla a klíče na veřejném GitHubu: Jak jedno kliknutí v AI asistentu ohrozilo tisíce firem

Bezpečnostní firma Apiiro odhalila, že pohodlná funkce AI asistenta Claude Code uložila hesla a přístupové klíče rovnou do veřejných repozitářů. Přes 2 500 citlivých údajů skončilo na GitHubu — a standardní skenery je často nezachytí.

Jedno kliknutí na tlačítko „Ano, a už se neptej“ může vaše hesla, API klíče a přístupy do databází poslat rovnou na veřejný GitHub. Přesně to se podle nové analýzy bezpečnostní firmy Apiiro děje tisícům vývojářů, kteří používají populárního AI asistenta Claude Code. Pokud ve vaší firmě někdo programuje s pomocí AI, tohle je varování, které si nemůžete dovolit přehlédnout.

Konfigurační soubor s uloženými hesly a klíči na obrazovce vývojáře

Co se vlastně stalo

AI nástroje na psaní kódu se během posledního roku staly běžnou součástí práce vývojářů. Jedním z nejrozšířenějších je Claude Code od společnosti Anthropic — asistent, který umí sám spouštět příkazy v terminálu, upravovat soubory a automatizovat rutinní úkoly. Aby nástroj neobtěžoval uživatele dotazem u každého jednotlivého příkazu, nabízí pohodlnou zkratku: u akce, kterou schválíte, můžete kliknout na „Ano, a už se neptej“. Od té chvíle se stejný typ příkazu provádí automaticky.

Háček je v tom, jak si Claude Code toto schválení pamatuje. Místo aby uložil jen obecné pravidlo, uloží celý příkaz slovo od slova — včetně hesla nebo klíče, který jste do něj napsali — do konfiguračního souboru na cestě `.claude/settings.local.json`. A právě tento soubor není ve výchozím nastavení chráněný tak, aby se omylem nedostal do veřejného repozitáře.

Čísla, která vás mají zarazit

Bezpečnostní firma Apiiro prohledala 104 185 veřejných kopií zmíněného souboru napříč více než sto tisíci repozitáři na GitHubu. Výsledek je znepokojivý: po rozšíření na historii gitu a záznamy komunikace s asistentem objevila 2 539 různých tajných údajů v 1 994 repozitářích. V aktuálně viditelných souborech přitom leželo 1 379 z nich.

Zvlášť nebezpečné je, jak dlouho tam úniky zůstávají. U poloviny zasažených repozitářů byl soubor v hlavní větvi nejméně 217 dní — více než sedm měsíců. Dalších 734 údajů se našlo ve starších verzích souborů, které sice někdo později smazal, ale v historii gitu jsou stále čitelné. A protože lidé repozitáře kopírují, 211 takzvaných forků neslo stejné uniklé údaje jako originál.

Claude Code je jediný z šestnácti porovnávaných kódovacích asistentů, u kterého je potvrzeno, že ve výchozím nastavení ukládá celý schválený příkaz do projektového souboru.

Proč na to standardní nástroje nestačí

Mnoho firem spoléhá na to, že úniky citlivých údajů zachytí automatické skenery. Jenže právě ty v tomto případě selhávají častěji, než by se čekalo. Nástroj gitleaks označil 564 souborů, TruffleHog jich zachytil 643 — ale 215 úniků neodhalil ani jeden z nich. Pro byznys to znamená jedno: i když máte zapnuté standardní bezpečnostní skenování, nemusí vám tenhle konkrétní typ úniku vůbec zachytit.

Problém není v nějakém sofistikovaném útoku. Jak zdůrazňují bezpečnostní experti, k úniku nestačí žádný škodlivý kód ani napadený účet — stačí, aby vývojář jednou schválil zcela běžný příkaz a pak soubor omylem nahrál do repozitáře. Zranitelnost je zabudovaná přímo do pohodlného pracovního postupu, který má uživateli ušetřit čas.

Tým vývojářů diskutuje nad bezpečností AI nástrojů v kanceláři

Co to znamená pro vaši firmu

Pokud u vás kdokoli — ať už interní vývojáři, nebo externí dodavatel — používá AI asistenty na psaní kódu, měli byste jednat hned. Riziko totiž nenese jen samotný programátor, ale celá firma: uniklý klíč k databázi nebo cloudu může útočníkovi otevřít dveře k zákaznickým datům, fakturačním systémům nebo celé infrastruktuře. A protože úniky zůstávají veřejně dostupné měsíce, čas hraje proti vám.

Konkrétní kroky, které můžete udělat prakticky okamžitě:

Širší poučení: pohodlí versus bezpečnost

Tenhle případ je učebnicovou ukázkou dilematu, které s nástupem AI nástrojů zažívá stále víc firem. Funkce „už se neptej“ má jediný účel — zrychlit práci a odstranit otravné potvrzovací dialogy. Jenže právě odstraněním tření se vytratila i pojistka, která uživatele nutila přemýšlet, co vlastně schvaluje. Čím je nástroj pohodlnější, tím snáz se chyba stane neviditelnou.

Apiiro navíc upozorňuje, že reakce výrobce zatím pokulhává. Čtyři související hlášení, která výzkumníci firmě Anthropic poslali, podle nich uzavřel automatický robot bez jediné lidské odpovědi. Starší hlášení z léta bylo uzavřeno jako „neplánováno“ až po šedesáti dnech nečinnosti. Pro firmy, které na daný nástroj spoléhají, je to signál, že na rychlou systémovou nápravu zatím nelze spoléhat — a že odpovědnost za bezpečnost zůstává na nich.

Praktický takeaway

AI asistenti pro programování jsou mimořádně užiteční a není důvod se jich vzdávat. Ale platí pro ně totéž co pro každý mocný nástroj: důvěřuj, ale prověřuj. Zaveďte ve firmě jasné pravidlo, že citlivé údaje se nikdy nepíší přímo do příkazů, pravidelně kontrolujte, co vaše repozitáře obsahují, a berte funkce typu „už se neptej“ jako to, čím skutečně jsou — kompromis mezi pohodlím a kontrolou. V bezpečnosti platí, že nejdražší je ta chyba, o které zjistíte až ve chvíli, kdy je pozdě.