ثغرة في Claude Code تهدد أكثر من 100 ألف مستودع برمجي على GitHub

**ثغرة أمنية تكشف مخاطر استخدام أدوات البرمجة بالذكاء الاصطناعي
**أثارت ثغرة أمنية مرتبطة بأداة البرمجة بالذكاء الاصطناعي Claude Code، التي تطورها شركة Anthropic الأمريكية، مخاوف متزايدة بشأن سلامة البيانات والمعلومات الحساسة داخل المشاريع البرمجية المنشورة على منصة GitHub.

ووفقاً لبحث أجرته شركة Apiiro المتخصصة في أمن التطبيقات، فقد تأثر أكثر من 100 ألف مستودع برمجي بهذه المشكلة، احتوى نحو 1,100 مستودع منها على بيانات شديدة الحساسية، شملت كلمات مرور ومفاتيح وصول إلى واجهات برمجية وقواعد بيانات، وهو ما قد يعرّض حسابات المطورين والخدمات المرتبطة بمشاريعهم لخطر الاختراق.

وتأتي هذه الحادثة في وقت يتزايد فيه الاعتماد على أدوات الذكاء الاصطناعي في تطوير البرمجيات، حيث أصبحت أدوات مثل Claude Code قادرة على كتابة الأكواد وتنفيذ الأوامر وإدارة مهام برمجية متعددة، الأمر الذي يوسع نطاق استخدامها بين المطورين وحتى المستخدمين الذين لا يمتلكون خبرة برمجية متقدمة.
**كيف حدث التسريب؟
**ترتبط المشكلة بآلية حفظ إعدادات الموافقة على تنفيذ الأوامر داخل Claude Code.

فعندما يختار المستخدم خيار الموافقة على تنفيذ أمر معين مع عدم سؤاله مجدداً، تقوم الأداة بحفظ هذه الموافقة ضمن قاعدة بيانات محلية في ملف الإعدادات على جهاز المستخدم.

وقد تتضمن هذه الإعدادات معلومات حساسة مرتبطة بالأوامر التي تم السماح بتنفيذها.

وتظهر المشكلة عندما يقوم المطور بنشر مشروعه على GitHub دون استبعاد ملفات الإعدادات المحلية من عملية النشر، فتنتقل معها المعلومات الحساسة إلى مستودع برمجي قد يكون متاحاً للعامة.

وبذلك، لا يقتصر خطر التسريب على الشيفرة البرمجية نفسها، بل يمتد إلى بيانات الوصول والصلاحيات التي تسمح بالتعامل مع خدمات خارجية وقواعد بيانات وأنظمة مرتبطة بالمشروع.
**لماذا لا يكفي حذف الملفات المسربة؟
**من أبرز التحديات التي كشف عنها هذا الحادث أن حذف الملفات التي تحتوي على البيانات الحساسة من النسخة الحالية للمستودع لا يضمن اختفاء تلك البيانات بالكامل.

فقد تظل المعلومات موجودة في سجلات الإصدارات السابقة، أو النسخ المتفرعة من المستودع، أو نسخ احتفظ بها مستخدمون آخرون.

وهذا يعني أن كلمات المرور ومفاتيح الوصول التي سبق نشرها قد تظل معرضة للاستغلال حتى بعد إزالة الملفات من المشروع الأصلي.

ولهذا، يوصي خبراء الأمن السيبراني بتغيير مفاتيح الوصول وكلمات المرور التي يحتمل تعرضها للتسريب، حتى بعد حذف الملفات، مع مراجعة سجلات المستودعات والإصدارات السابقة للتأكد من عدم بقاء بيانات حساسة منشورة.
**ما الإجراءات التي ينبغي على المطورين اتخاذها؟
**تشمل أبرز الإجراءات الوقائية التي أشار إليها الخبراء:
- تغيير مفاتيح الوصول وكلمات المرور: إلغاء المفاتيح التي يحتمل تعرضها للتسريب وإنشاء مفاتيح جديدة.
- مراجعة المستودعات البرمجية: فحص المشاريع المنشورة وسجلات التعديلات والإصدارات السابقة.
- استبعاد ملفات الإعدادات الحساسة: التأكد من عدم نشر ملفات الإعدادات المحلية أو الملفات التي تحتوي على أسرار المشروع.
- إدارة البيانات السرية بشكل منفصل: استخدام أدوات مخصصة لإدارة كلمات المرور ومفاتيح الوصول بدلاً من تضمينها في ملفات المشروع.
- مراجعة صلاحيات أدوات الذكاء الاصطناعي: التأكد من أن الأوامر والصلاحيات الممنوحة للأدوات لا تسمح بكشف بيانات غير ضرورية.
وأشار التقرير أيضاً إلى أن أنثروبيك لم تكن قد أصدرت، وقت نشر تقرير الجزيرة نت، بياناً رسمياً بشأن نتائج البحث أو إرشادات إضافية لمعالجة المشكلة.
**الذكاء الاصطناعي يفرض تحديات جديدة على الأمن السيبراني
**تكشف هذه الحادثة عن جانب مهم من التحديات الأمنية المصاحبة للتوسع في استخدام الذكاء الاصطناعي في تطوير البرمجيات.

فلم تعد حماية الأنظمة تقتصر على تأمين الخوادم والتطبيقات وقواعد البيانات، بل أصبحت تشمل أيضاً أدوات التطوير نفسها، وملفات الإعدادات المحلية، وآليات إدارة الصلاحيات، وطريقة تخزين المعلومات السرية ومشاركتها.

ومع تزايد قدرة أدوات الذكاء الاصطناعي على تنفيذ المهام البرمجية بشكل مباشر، تبرز الحاجة إلى اعتماد سياسات أكثر صرامة لإدارة الوصول وحماية البيانات، وإدراج مراجعة أمنية مستمرة ضمن دورة تطوير البرمجيات.

إن سرعة التطوير التي توفرها تقنيات الذكاء الاصطناعي ينبغي أن تسير بالتوازي مع ضوابط أمنية واضحة، تضمن عدم تحول أدوات رفع الإنتاجية إلى نقاط ضعف تهدد سلامة المشاريع والأنظمة الرقمية.

المصدر: الجزيرة نت، نقلاً عن تقارير وبحوث أمنية، 11 نوفمبر 2026.