# ملفات إعدادات Claude Code تكشف آلاف الأسرار على GitHub

> عثر باحثون أمنيون على أكثر من 100,000 ملف إعدادات علني لـClaude Code على GitHub، احتوى 1,100 منها على كلمات مرور ومفاتيح API ومفاتيح خاصة.

Oossa · 2026-11-09 · https://oossa.com/ar/claude-code-settings-files-expose-thousands-of-secrets-on-github

Claude Code من Anthropic أداة تتيح للمطورين تشغيل أوامر shell مولّدة بالذكاء الاصطناعي ضمن مشاريعهم. عندما ينقر المستخدم على «نعم، ولا تسألني مرة أخرى»، يُحفظ الإذن في ملف محلي اسمه .claude/settings.local.json. ويحتوي الملف على الأمر المحدد، الذي قد يتضمن كلمات مرور قواعد البيانات أو رموز API أو بيانات اعتماد أخرى. وتشير وثائق Anthropic إلى أن الملف يُضاف إلى ملف .gitignore عام، لذا يُفترض أن يبقى على جهاز المطوّر.

اكتشف باحثون في Apiiro أن إدراج الملف في .gitignore لا يسري على المستودع نفسه. فإذا حُوّل مجلد يحتوي على ملف الإعدادات لاحقًا إلى مستودع Git، أو إذا أودع Claude Code الملف بنفسه، فقد تُرفع البيانات الحساسة إلى GitHub. وعثر فحص أجرته Apiiro لمستودعات GitHub العامة على أكثر من 100,000 نسخة من الملف، احتوى نحو 1,100 منها على أسرار فعلية. وجاءت هذه الأسرار من 63 مؤسسة مختلفة، وشملت رموز API عامة وكلمات مرور قواعد بيانات ومفاتيح خاصة.

بعد أن يصبح الملف عامًا، لا يؤدي حذفه من المستودع الرئيسي إلى محوه من النسخ المتفرعة أو النسخ المخزنة مؤقتًا. وهذا يعني أن أي شخص يستنسخ المستودع أو يتصفح سجلّه يظل قادرًا على الاطلاع على بيانات الاعتماد المسربة. وحذّر الباحثون من أن هذا الانكشاف قد يتيح للمهاجمين الوصول إلى قواعد البيانات أو الخدمات السحابية أو الأنظمة الداخلية، إذا كانت المفاتيح المسربة لا تزال فعالة.

## لماذا يهمّنا هذا التسريب؟

تسلّط هذه النتائج الضوء على ضرورة أن يتحقق المطورون جيدًا من الملفات التي يجري تتبعها قبل إيداع الشيفرة. فالاعتماد على ملف .gitignore عام وحده لا يكفي؛ إذ ينبغي أن يتضمن كل مستودع ملف .gitignore خاصًا به يستثني .claude/settings.local.json. كما ينبغي للمؤسسات تغيير أي بيانات اعتماد ربما انكشفت، وفحص مستودعاتها بحثًا عن ملفات مشابهة.

## الحقائق

- عثر Apiiro على أكثر من 100,000 ملف علني باسم .claude/settings.local.json على GitHub.
- احتوى نحو 1,100 من هذه الملفات على أسرار حقيقية، مثل رموز API وكلمات مرور قواعد البيانات والمفاتيح الخاصة.
- جاءت الأسرار من 63 مؤسسة مختلفة.
- يُجري Claude Code تلقائيًا تغييرات على ملف الإعدادات من دون طلب موافقة المستخدم.
- تقول Anthropic إن ملف الإعدادات يُضاف إلى ملف .gitignore عام، لكن ذلك لا يمنع رفعه إلى مستودع.

## لماذا يهم

قد يكشف المطورون بيانات اعتماد عن غير قصد عند استخدام Claude Code، ما قد يتيح وصولًا غير مصرّح به إلى الخدمات. وينبغي للمؤسسات تدقيق مستودعاتها والتعامل مع ملف الإعدادات على أنه حساس، وإضافته إلى ملف .gitignore الخاص بكل مشروع، وتغيير أي مفاتيح مسرّبة.

## المصادر والمراجع

1. [Claude Code settings files expose thousands of secrets on GitHub](https://arstechnica.com/ai/2026/11/claude-code-settings-files-expose-thousands-of-secrets-on-github/) – Ars Technica, 2026-11-09

آخر تحديث: 2026-11-09