Claude Code, allarme sicurezza: password e credenziali private finiscono su Internet
Un problema legato al funzionamento di Claude Code, lo strumento di programmazione basato sull’intelligenza artificiale sviluppato da Anthropic, ha sollevato nuove preoccupazioni sulla sicurezza dei dati personali e delle informazioni riservate utilizzate dagli sviluppatori. Una vulnerabilità nel sistema di memorizzazione automatica delle autorizzazioni avrebbe infatti contribuito a esporre sul web migliaia di informazioni sensibili, tra cui password, chiavi di accesso, token e credenziali utilizzate per collegarsi a servizi e infrastrutture informatiche.
La vicenda è stata portata all’attenzione dalla società di sicurezza informatica Apiiro, che ha individuato un numero particolarmente elevato di file riconducibili a Claude Code pubblicamente accessibili attraverso GitHub. Il problema riguarda soprattutto il modo in cui il software registra alcune preferenze degli utenti, conservando le autorizzazioni concesse durante l’esecuzione dei comandi.
Secondo le informazioni diffuse dai ricercatori, oltre 100mila documenti contenenti configurazioni locali dello strumento sono stati individuati all’interno di repository pubblici. Una parte di questi file conteneva informazioni che avrebbero dovuto rimanere riservate e che, in determinate circostanze, sono diventate consultabili da chiunque attraverso Internet.
La scoperta riporta al centro dell’attenzione una questione sempre più importante nell’utilizzo dell’intelligenza artificiale: la protezione delle informazioni che gli utenti affidano agli strumenti automatizzati. Se da una parte questi sistemi permettono di velocizzare il lavoro e semplificare attività tecniche complesse, dall’altra possono introdurre nuovi rischi quando gestiscono password, autorizzazioni e dati sensibili senza adeguati meccanismi di protezione.
La scoperta di Apiiro: oltre 100mila file individuati su GitHub
L’indagine condotta da Apiiro ha permesso di individuare 104.185 copie di file di configurazione locali di Claude Code, distribuite all’interno di 103.617 repository pubblici presenti su GitHub.
Il dato più preoccupante riguarda il contenuto di una parte di questi documenti. I ricercatori hanno rilevato che 1.122 file contenevano almeno un’informazione riservata, per un totale di 1.379 credenziali distinte tra password, chiavi e token.
Non si tratta quindi soltanto di semplici impostazioni tecniche o preferenze di utilizzo, ma di informazioni che possono consentire l’accesso a risorse informatiche, database e servizi online.
Tra i dati individuati figurerebbero 379 password per database, 122 chiavi di servizio Supabase, 43 credenziali SSH utilizzabili per accedere a server pubblici, 23 chiavi AWS e 42 token associati a piattaforme come GitHub, GitLab e npm.
La varietà delle informazioni coinvolte dimostra la possibile rilevanza del problema. Una credenziale pubblicata accidentalmente potrebbe infatti rappresentare un punto di accesso a sistemi utilizzati da sviluppatori, aziende e organizzazioni.
Apiiro ha inoltre esteso l’analisi alle versioni precedenti dei documenti e ad altri file collegati alle configurazioni degli agenti. Considerando anche queste ulteriori categorie, la società ha individuato 2.539 segreti distinti distribuiti in 1.994 repository.
Questi numeri devono essere interpretati distinguendo i file attualmente individuati dalle informazioni conservate nelle versioni precedenti e negli altri archivi. Non rappresentano necessariamente altrettanti account compromessi, ma evidenziano quanto a lungo le informazioni riservate possano rimanere accessibili dopo essere state inserite in un repository pubblico.
Come funziona il problema: le autorizzazioni automatiche salvano anche le password
Al centro della vicenda c’è una funzionalità di Claude Code pensata per rendere più agevole il lavoro degli sviluppatori. Quando il programma chiede all’utente il permesso di eseguire un determinato comando, è possibile autorizzarlo anche per le esecuzioni successive, evitando di dover ripetere continuamente la stessa conferma.
La scelta di non richiedere ulteriori autorizzazioni viene registrata attraverso una regola che permette al software di riconoscere i comandi già approvati.
Il problema emerge quando all’interno del comando autorizzato è presente una password o un’altra informazione riservata. In determinate situazioni, Claude Code può memorizzare il comando completo, compresi i dati sensibili inseriti dall’utente.
Questo significa che una password utilizzata per collegarsi a un database, una chiave di accesso o un token possono finire all’interno di un normale documento di configurazione.
Il file interessato è denominato .claude/settings.local.json e viene utilizzato per conservare le regole di autorizzazione associate al progetto.
La questione diventa particolarmente delicata quando il documento viene inserito in un repository pubblico. Un’informazione che avrebbe dovuto rimanere confinata nell’ambiente di lavoro dello sviluppatore può così essere distribuita insieme agli altri file del progetto, diventando potenzialmente accessibile a utenti esterni.
Il meccanismo non implica necessariamente che Claude Code abbia autonomamente cercato di divulgare le password. Il problema riguarda piuttosto la conservazione delle informazioni contenute nei comandi autorizzati e le successive modalità con cui i file possono essere condivisi o pubblicati.
Il ruolo di GitHub e i limiti delle protezioni automatiche
Un elemento particolarmente importante riguarda il sistema utilizzato per impedire la pubblicazione accidentale dei file di configurazione.
Secondo la documentazione di Claude Code, quando il programma crea per la prima volta il documento locale in un progetto, può aggiungere un’esclusione al file globale utilizzato da Git per evitare che determinate informazioni vengano inserite nei repository.
Questa protezione, tuttavia, presenta dei limiti. L’esclusione configurata sul computer dello sviluppatore non viene automaticamente trasferita a tutti gli altri dispositivi o ambienti di lavoro.
Di conseguenza, un file che risulta escluso dalla pubblicazione su una determinata macchina potrebbe non essere protetto nello stesso modo quando il progetto viene trasferito, copiato o gestito da un altro computer.
La situazione può diventare ancora più problematica quando il documento viene aggiunto manualmente al repository oppure quando risulta già tracciato dal sistema di controllo delle versioni.
In questi casi, le normali esclusioni potrebbero non essere sufficienti a impedire la diffusione delle informazioni.
L’indagine di Apiiro ha inoltre evidenziato che la rimozione di un documento dalla versione corrente di un progetto non garantisce necessariamente la cancellazione delle informazioni precedentemente pubblicate. Le versioni storiche possono infatti continuare a conservare password e credenziali anche dopo che il file è stato modificato o eliminato.
Anthropic interviene: “Ci stiamo lavorando”
Dopo la diffusione dei risultati dell’indagine, la questione è arrivata all’attenzione del gruppo di sviluppo di Claude Code.
Boris Cherny, esponente del team di Claude Code di Anthropic, è intervenuto pubblicamente nella discussione dedicata alla ricerca, riconoscendo che il prodotto non ha storicamente integrato un sistema specifico di rimozione automatica delle informazioni riservate dai comandi memorizzati.
La posizione espressa dall’azienda è che siano in corso valutazioni per individuare possibili soluzioni capaci di impedire che password e altri dati sensibili vengano conservati involontariamente.
Tra le ipotesi considerate figurano il miglioramento dei controlli sui comandi eseguiti automaticamente e l’introduzione di funzionalità di rilevamento delle informazioni riservate direttamente all’interno dello strumento.
Anthropic ha quindi lasciato intendere che il problema richiede un intervento sul funzionamento di Claude Code, con l’obiettivo di ridurre la possibilità che informazioni private vengano registrate nelle configurazioni locali e successivamente diffuse.
Non è però sufficiente individuare una soluzione tecnica: sarà necessario anche verificare che le nuove protezioni funzionino nelle diverse situazioni in cui gli sviluppatori utilizzano il software.
Le verifiche sulle credenziali e il rischio di accessi non autorizzati
Un aspetto che richiede particolare attenzione riguarda la validità delle password individuate.
Apiiro ha chiarito di non aver tentato di utilizzare le credenziali scoperte. Non è quindi possibile stabilire, sulla base della sola indagine, quante fossero ancora attive al momento della rilevazione o quali risorse avrebbero consentito di raggiungere.
La società ha tuttavia riferito che almeno un’organizzazione avvisata prima della pubblicazione aveva riconosciuto che una delle chiavi esposte era ancora funzionante.
Questo elemento dimostra perché la presenza di informazioni riservate su repository pubblici non debba essere considerata un problema puramente teorico. Una credenziale ancora valida potrebbe permettere a soggetti esterni di raggiungere servizi e infrastrutture senza disporre di ulteriori autorizzazioni.
Inoltre, anche quando un file viene successivamente rimosso, non si può escludere che sia già stato copiato, scaricato o conservato in altre versioni del progetto.
Perché la vicenda riguarda anche aziende e sviluppatori
La scoperta di Apiiro evidenzia una criticità che va oltre il singolo prodotto di Anthropic. Gli strumenti di programmazione basati sull’intelligenza artificiale stanno diventando sempre più presenti nei processi di sviluppo software e vengono utilizzati per eseguire comandi, modificare progetti e interagire con servizi esterni.
In questo contesto, la gestione delle autorizzazioni rappresenta un elemento fondamentale della sicurezza informatica.
Un sistema progettato per semplificare le attività quotidiane deve essere in grado di distinguere le normali istruzioni operative dalle informazioni che non dovrebbero mai essere memorizzate o condivise in chiaro.
La vicenda dimostra inoltre che la protezione dei dati non può essere affidata esclusivamente alle impostazioni predefinite di un singolo programma. Anche le procedure adottate dagli sviluppatori, le configurazioni dei repository e gli strumenti di controllo automatico devono contribuire a impedire la pubblicazione involontaria di informazioni sensibili.
Per le aziende, il rischio è ancora più significativo quando le credenziali coinvolte permettono di raggiungere database, infrastrutture cloud o servizi utilizzati per la gestione dei prodotti informatici.
Una password esposta potrebbe infatti rappresentare una vulnerabilità anche molto tempo dopo la pubblicazione originaria del documento.
Cosa fare per proteggere password e informazioni riservate
La scoperta ha riportato l’attenzione sulla necessità di controllare attentamente i documenti generati dagli strumenti di intelligenza artificiale.
Tra le misure indicate dai ricercatori di sicurezza rientra innanzitutto la verifica dei file di configurazione di Claude Code, soprattutto quando un progetto è stato condiviso attraverso repository pubblici.
Se vengono individuate credenziali effettivamente esposte, la semplice cancellazione del documento non rappresenta una misura sufficiente. È necessario intervenire sulle credenziali stesse, sostituendo o revocando quelle potenzialmente compromesse.
Un’altra precauzione consiste nell’evitare di inserire password direttamente nei comandi eseguiti attraverso gli strumenti di programmazione. È preferibile utilizzare variabili d’ambiente o sistemi dedicati alla gestione dei segreti, riducendo la possibilità che informazioni riservate vengano registrate all’interno di file ordinari.
Anche le configurazioni dei repository dovrebbero essere controllate per assicurarsi che i documenti contenenti dati sensibili non vengano pubblicati accidentalmente.
Infine, è importante verificare non soltanto i file presenti nella versione attuale di un progetto, ma anche le eventuali copie conservate nella cronologia delle modifiche.
Intelligenza artificiale e sicurezza: un problema da non sottovalutare
Il caso Claude Code rappresenta un nuovo campanello d’allarme per il settore dell’intelligenza artificiale. La diffusione di strumenti sempre più autonomi e integrati nei processi di lavoro rende indispensabile un livello di protezione adeguato alla quantità e alla sensibilità delle informazioni che questi sistemi possono gestire.
La possibilità di autorizzare automaticamente i comandi è indubbiamente utile per chi lavora quotidianamente con il codice, ma non può trasformarsi in un punto debole attraverso il quale password e credenziali vengono conservate senza adeguate precauzioni.
L’indagine di Apiiro ha portato alla luce un problema concreto nella gestione dei documenti di configurazione, mentre Anthropic ha dichiarato di essere al lavoro per individuare possibili interventi correttivi.
Resta da capire quali modifiche verranno effettivamente introdotte e quanto saranno efficaci nel prevenire nuove esposizioni.
La questione, intanto, lascia una lezione importante: anche gli strumenti di intelligenza artificiale progettati per aumentare la produttività devono essere sottoposti a controlli rigorosi. La comodità di un’autorizzazione automatica non può prevalere sulla sicurezza delle password, dei dati aziendali e delle informazioni private degli utenti.