Claude Code Bocorkan Ribuan Password dan API Key di GitHub, Ini Penyebabnya

Melalui penelusuran sejarah commit dan berkas yang dibagikan, peneliti mengidentifikasi setidaknya 2.539 credential unik yang tersebar di hampir 2.000 repositori publik. Kredensial yang terekspos meliputi password database, API token, hingga private SSH key yang memberikan akses penuh ke server penting.

Dampak kebocoran ini tidak hanya menimpa proyek pribadi milik pengembang independen. Sejumlah repository terdampak diketahui milik perusahaan penyedia layanan perangkat lunak dan vendor IT profesional. Kondisi ini memperbesar ancaman peretasan rantai pasok jika kunci akses tersebut jatuh ke tangan pihak tidak bertanggung jawab.

Alat Pemindai Keamanan Konvensional Gagal Mengendus Risiko

Kondisi ini makin mengkhawatirkan karena perkakas security scanner yang biasa diandalkan oleh para pengembang ternyata tidak berkutik menghadapi pola kebocoran ini. Peneliti menemukan bahwa dua alat pemindai keamanan populer, yakni Gitleaks dan TruffleHog, gagal mendeteksi 215 dari 1.122 berkas yang terbukti berisi kunci rahasia.

Kegagalan alat pemindai tersebut disebabkan oleh struktur penyimpanan password yang menyatu di dalam baris perintah shell biasa. Sebagian besar security scanner dirancang untuk mengenali format string token standar, tetapi kesulitan mengidentifikasi kata sandi acak yang terselip di dalam argumen perintah terminal.

Situasi ini membuat banyak tim keamanan tidak menyadari bahwa kredensial sistem mereka telah terbuka untuk umum selama berbulan-bulan di repositori daring.

Langkah Penanganan dan Implikasi Bagi Pengembang

Anthropic telah mengonfirmasi temuan celah keamanan ini dan sedang menguji sejumlah penanganan teknis. Boris Cherny, selaku pimpinan tim pengembang Claude Code, menyatakan bahwa pihaknya tengah mempertimbangkan integrasi fitur secret scanning internal serta perombakan sistem manajemen izin perintah agar tidak menyimpan rahasia dalam berkas lokal.

Bagi para developer yang memanfaatkan alat ini dalam alur kerja harian, tindakan pencegahan mandiri sangat mendesak untuk dilakukan. Pengembang disarankan segera memeriksa apakah berkas .claude/settings.local.json pernah tersimpan di repositori publik.

Penting untuk diingat bahwa sekadar menghapus berkas tersebut tidak menghapus jejak kebocoran. Informasi sensitif tetap dapat diakses oleh pihak luar melalui Git history atau cabang fork proyek yang sudah terlanjur ditarik oleh orang lain. Cara paling aman yang disarankan adalah melakukan rotasi atau pencabutan seluruh password dan API key yang terindikasi pernah digunakan dalam perintah Claude Code.