مفاتيحك السرية قد تُنشر دون أن تدري: درس من Claude Code وGitHub

من بين أخبار اليوم، توقفت عند خبر لا يتعلق بهاتف جديد ولا بتحديث نظام، بل بعادة صغيرة يمارسها كثير من المطورين كل يوم: الضغط على زر «نعم ولا تسأل مجددًا». نقل موقع The Hacker News أن شركة الأمن Apiiro رصدت كلمات مرور ومفاتيح API في مستودعات عامة على GitHub، يستطيع أي شخص قراءتها. وتحدث العنوان عن 1,122 نسخة عامة.

ما الذي حدث بالضبط؟

حسب ما ورد في التقرير، عندما يوافق المستخدم على أمر في أداة Claude Code من Anthropic ويختار «نعم ولا تسأل مجددًا»، قد تحفظ الأداة هذا الأمر حرفيًا في ملف إعدادات المشروع. المشكلة أن الأمر قد يحتوي على السر نفسه. فإذا كتب المطور كلمة المرور أو المفتاح داخل الأمر، ينتقل إلى ملف الإعدادات. وإذا رُفع المشروع إلى مستودع عام، صار السر متاحًا للجميع.

لا أرى في هذا خطأ في أسلوب عمل المطور وحده، ولا عيبًا في الأداة وحدها. هو نتيجة تقاطع الاثنين: أداة تحفظ ما يوافق عليه المستخدم لتوفير وقته، ومستخدم لا يخطر بباله أن هذا الحفظ قد يخرج من جهازه.

لماذا يعنينا في الخليج؟

الشركات عندنا، من التقنية المالية إلى التجارة الإلكترونية إلى الجهات الحكومية، تتبنى أدوات الذكاء الاصطناعي في البرمجة بسرعة كبيرة، وهذا أمر جيد. لكن السرعة تسبق أحيانًا ضوابط الأمن. وكثير من الفرق الصغيرة والمستقلين الذين يعملون مع عملاء في المنطقة يرفعون مشاريعهم إلى GitHub بسهولة، وأحيانًا بحساب شخصي لا بحساب الشركة.

مفتاح API مسرّب قد يعني فاتورة سحابية ضخمة يتحملها العميل، أو وصولًا إلى بيانات عملاء، أو بابًا خلفيًا إلى بيئة الإنتاج. ومن يتعامل مع بيانات حساسة يعرف أن التسريب يضر بالسمعة والثقة قبل أن يضر بالمال، وأن الجهات التنظيمية لا تقبل بسهولة أن يكون السبب «نسينا».

ما الذي أنصح به؟

• افحص مستودعاتك الآن: ابحث في ملفات الإعدادات المحلية للأدوات وفي سجل الإيداعات (commits) عن أي كلمة مرور أو مفتاح.
• دوّر المفاتيح فورًا: إذا وجدت سرًّا في مستودع عام، فاعتبره مكشوفًا وغيّره. حذف الملف لا يكفي لأن السجل يحتفظ بالنسخ القديمة.
• لا تكتب الأسرار داخل الأوامر: استخدم متغيرات البيئة أو مدير أسرار مخصصًا، بحيث يظهر في الأمر اسم المتغير لا قيمته.
• تعامل بحذر مع «لا تسأل مجددًا»: لا تختره مع أي أمر يحتوي على بيانات اعتماد، واقرأ ما تقبله فعلًا.
• استبعد ملفات إعدادات الأدوات من الرفع: أضف الملفات المحلية التي تنشئها أدوات الذكاء الاصطناعي إلى قائمة الاستبعاد في مشاريعك.
• فعّل الفحص الآلي: استخدم أدوات اكتشاف الأسرار وحماية الدفع في GitHub، وأضف فحصًا قبل الإيداع في بيئة العمل.

رأيي بصراحة

لا أدعو إلى التوقف عن استخدام مساعدي البرمجة بالذكاء الاصطناعي؛ فهم يوفرون وقتًا حقيقيًا، وأستخدمهم وأنصح بهم. لكن الخبر يذكّرني بقاعدة قديمة: كل أداة تسهّل عملك تضيف سطح هجوم جديدًا، وما كان «مجرد أمر عابر» قد يصبح ملفًا دائمًا يسافر مع مشروعك.

ولا أعرف من الخبر المتاح ما إذا كانت Anthropic قد أصدرت إصلاحًا أو توضيحًا، ولذلك أنصح بمتابعة مصادرها الرسمية وتقرير Apiiro. أما إلى ذلك الحين، فالمسؤولية الأولى على الفريق نفسه: ضوابط واضحة، وعادات سليمة، ومراجعة دورية لما يخرج من أجهزة المطورين.

وإن كنت مدير شركة أو مسؤول تقنية، فخصص هذا الأسبوع ساعة واحدة لسؤال فريقك: أين نخزن أسرارنا؟ ومن يراجع ما نرفعه؟ قد تكون هذه الساعة أرخص استثمار أمني تقوم به هذا العام.