Claude Code laisse traîner des mots de passe
Suite de vendredi 6 novembre: Claude Code enverrait ton courriel aux sites WebVendredi, on te parlait d'un rapport de bogue : Claude Code enverrait ton adresse courriel aux sites Web. Là, c'est plus grave : ce sont des mots de passe. La firme de sécurité Apiiro a publié un rapport sur les agents de programmation qui laissent fuir des secrets, intitulé « Claude Code's 'Don't Ask Again' exposes passwords in 1,122 public GitHub files ». Le rapport a récolté 393 points et 270 commentaires sur Hacker News.
« Don't ask again » (ne plus demander), c'est l'option qui laisse un agent de programmation agir sans te demander la permission chaque fois. Selon Apiiro, elle est liée à des mots de passe dans 1 122 fichiers que n'importe qui peut lire sur GitHub. Nos sources n'ont pas encore de réponse d'Anthropic.
La même semaine, dans un balado de The Verge intitulé « AI broke the cybersecurity world », Alex Stamos, chef de la sécurité chez Cognition, décrit le fouillis actuel en sécurité. Si tu utilises un agent de programmation, vérifie tes fichiers avant de les pousser sur GitHub. Et change tout mot de passe qui pourrait être exposé.
Chaque « ne plus demander » donne un peu de ta confiance à une machine. Octobre a enchaîné les incidents d'agents, et novembre garde le rythme : ton courriel vendredi, des mots de passe aujourd'hui. Les boutons pratiques deviennent la nouvelle porte grande ouverte.
