Claude Code เผยรหัสผ่านและคีย์ API ในคลังโค้ดสาธารณะบน GitHub ถึง 1,12

การใช้งาน Claude Code อาจทำให้รหัสผ่านและคีย์ API ที่ผู้พัฒนาพิมพ์ลงในคำสั่งถูกบันทึกไว้ในไฟล์ตั้งค่าของโปรเจกต์ เมื่อไฟล์ดังกล่าวถูกส่งขึ้น GitHub ในพื้นที่สาธารณะ ข้อมูลลับก็เปิดเผยให้ผู้ใช้งาน GitHub ทุกคนอ่านได้

บริษัทด้านความปลอดภัย Apiiro ระบุว่า มีไฟล์ตั้งค่าในลักษณะนี้อยู่ในคลังโค้ดสาธารณะบน GitHub ถึง 1,122 รายการ เหตุการณ์ดังกล่าวจึงเป็นความเสี่ยงที่กระทบทั้งผู้ใช้งานและองค์กรที่ใช้ Claude Code ทำงาน

ข้อมูลลับถูกบันทึกอย่างไร

เมื่อผู้ใช้อนุมัติคำสั่งที่มีข้อมูลลับ ตัวช่วยเขียนโค้ด Claude Code ของ Anthropic อาจบันทึกคำสั่งนั้นเพื่อไม่ต้องถามซ้ำในครั้งถัดไป หากผู้ใช้เลือกยืนยันว่าจะไม่ถามอีก ระบบจึงสามารถเก็บคำสั่งทั้งหมดตามที่ผู้ใช้ป้อนลงใน ไฟล์ตั้งค่าของโปรเจกต์

ประเด็นสำคัญไม่ใช่เพียงการจดจำคำสั่ง แต่รวมถึงข้อความทั้งหมดที่ปรากฏอยู่ในคำสั่งนั้น หากคำสั่งมีรหัสผ่านหรือคีย์ API ค่าดังกล่าวจะถูกเก็บไว้พร้อมกัน จึงอาจถูกเปิดเผยต่อไปพร้อมไฟล์ แม้ผู้พัฒนาไม่ได้ตั้งใจเผยแพร่ข้อมูลส่วนนั้นก็ตาม

รหัสผ่านและคีย์ API หลุดสู่คลังโค้ดสาธารณะ

Apiiro ตรวจสอบคลังโค้ดสาธารณะและพบไฟล์ 1,122 รายการที่เปิดเผยข้อมูลลับในลักษณะนี้ เนื่องจากคลังโค้ดสาธารณะเปิดให้ใครก็ตามเข้าไปเปิดดูได้ ผู้ที่พบข้อมูลจึงอาจนำรหัสผ่านหรือคีย์ API ไปใช้เข้าถึงบริการหรือข้อมูลที่ได้รับอนุญาตด้วยคีย์นั้น อันตรายจึงไม่ได้จำกัดอยู่ที่การมองเห็นข้อมูลลับ แต่รวมถึงการเข้าถึงสิ่งที่ข้อมูลดังกล่าวอนุญาตให้ทำได้

ความเสี่ยงยิ่งเพิ่มขึ้นเมื่อไฟล์ตั้งค่าอยู่ในโปรเจกต์ที่แชร์กันหรือถูกทำให้เป็นสาธารณะ เพราะผู้ที่พบคำสั่งที่บันทึกไว้อาจเห็นข้อมูลลับในบริบทเดียวกับขั้นตอนการทำงาน แม้ผู้ใช้จะไม่ได้เขียนค่าลับลงในไฟล์ตั้งค่าโดยตรงก็ตาม

ผลกระทบจากข้อมูลที่เปิดเผย

เหตุการณ์นี้แสดงให้เห็นว่าการอนุมัติคำสั่งแบบครั้งเดียวมีผลต่อเนื้อหาในโปรเจกต์ในระยะยาว คำสั่งที่ดูเหมือนเป็นการทำงานทั่วไปอาจถูกเก็บเป็นข้อความถาวร และถูกส่งต่อไปกับโค้ดหรือคลังข้อมูลของทีม หากไม่ได้ตรวจสอบ ไฟล์ตั้งค่าอาจกลายเป็นช่องทางเปิดเผยข้อมูลลับโดยไม่ตั้งใจ

สำหรับองค์กร ความเสี่ยงอาจครอบคลุมการเข้าถึงบริการที่ใช้คีย์ API การเปิดเผยข้อมูลถาวรในคลังโค้ด และความเสียหายที่เกิดจากการนำข้อมูลลับไปใช้ ขณะที่ผู้ใช้รายบุคคลอาจเผชิญการนำข้อมูลลับไปใช้หรือการเข้าถึงบริการโดยไม่ได้รับอนุญาต ความเสี่ยงจึงต้องพิจารณาจากตัวข้อมูลที่รั่ว ไม่ใช่จำนวนไฟล์ที่พบเท่านั้น

การตรวจสอบและป้องกันความเสี่ยง

ผู้ที่ใช้ Claude Code ควรตรวจสอบไฟล์ตั้งค่าของโปรเจกต์และค้นหารหัสผ่านกับคีย์ API ที่อาจถูกบันทึกไว้ หากพบค่าลับอยู่ในคลังโค้ดสาธารณะ ควรถือว่าค่านั้นเปิดเผยแล้ว และเปลี่ยนรหัสผ่านหรือยกเลิกคีย์ API ที่เกี่ยวข้องผ่านช่องทางทางการของผู้ให้บริการ การลบไฟล์อย่างเดียวไม่อาจย้อนกลับการเข้าถึงที่เกิดขึ้นแล้วได้

ในการใช้งานครั้งต่อไป ผู้พัฒนาควรพิจารณาอย่างระมัดระวังก่อนเลือกตัวเลือกที่ไม่ถามคำสั่งซ้ำ และหลีกเลี่ยงการพิมพ์รหัสผ่านหรือคีย์ API ลงในคำสั่งที่จะถูกบันทึก การตรวจสอบไฟล์ที่จะเผยแพร่ รวมถึงการแยกข้อมูลลับออกจากคำสั่งที่บันทึกไว้ เป็นแนวทางลดความเสี่ยงที่สอดคล้องกับสาเหตุของปัญหา

Reference

The Hacker News

หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม

💬 Line @monsteronline

☎️ Tel 02-026-6664

📩 Email [email protected]

🌐 Website mon.co.th