أمن Claude: أسرارك في ملف إعدادات، وإضافة متصفح تشغّل الكود

ثلاث قصص أمنية عن Claude في أسبوع واحد، ولم يكن أيٌّ منها اختراقاً بالمعنى التقليدي. لم يكسر أحد تشفيراً، ولم يسرق أحد قاعدة بيانات لكلمات المرور. ففي كل قصة فعل الوكيل ما سُمح له بفعله. أما الخلل فكان في الموافقة: موافقة حُفظت إلى الأبد، وأخرى نقر عليها سكربت، وثالثة لم تُطلب أصلاً.

1. «لا تسأل مرة أخرى» حفظت سرّك

حين يطلب Claude Code تشغيل أمر في الطرفية، تكون إحدى الإجابات المتاحة «نعم، ولا تسأل مرة أخرى». عندها يكتب Claude Code قاعدة إذن في الملف .claude/settings.local.json داخل مشروعك. وقد تحمل هذه القاعدة الأمر حرفياً. فإذا كان في الأمر رمز وصول () أو كلمة مرور، صار الملف يحملهما هو الآخر. صحيح أن Claude Code يضيف الملف إلى قائمة الاستثناءات العامة في على جهازك، لكن ذلك لا يحمي إلا جهازاً واحداً: فملف .gitignore في مشروعك لا يذكره، ولذلك قد يدخل في عبر نسخة مستنسخة من المستودع، أو نسخة من الملف، أو ملف أُنشئ يدوياً.

بحثت ، وهي شركة متخصصة في الأمن السيبراني، في المستودعات العامة على GitHub. فمن بين 104,185 نسخة عامة من هذا الملف، احتوت 1,122 نسخة على سرّ حقيقي، بمجموع 1,379 سرّاً مختلفاً. وإذا أُضيف سجل Git، وملف settings.json المشترك، وسجلات محادثات الوكلاء، بلغ العدد 2,539 سرّاً في 1,994 مستودعاً عاماً.

لكن الرقم الذي بقي في ذهني رقم آخر. فأداتان شائعتان لكشف الأسرار، هما و ، فاتهما معاً السرّ في 215 ملفاً من تلك الملفات الـ 1,122، أي نحو ملف من كل خمسة. ولم تختبر Apiiro ما إذا كانت الأسرار لا تزال صالحة، وإن أكّدت إحدى المؤسسات المتضررة أن مفتاحها كان لا يزال فعّالاً. وردّ أحد أعضاء فريق Claude Code بأن الملفات المسرّبة أُنشئت يدوياً، لا بواسطة الوكيل. وفي الحالتين، انتهى المطاف بالملف في Git.

الموافقة التي تحفظها سطرٌ في الإعدادات. تعامل معها كما تتعامل مع الكود، لأن Git يفعل ذلك.

2. إضافة متصفح تتحكم في Claude على حاسوبك

القصة الثانية مصدرها شركة ، التي أطلقت عليها اسم . تتيح لك ميزة إرسال مهمة من إلى تطبيق على حاسوبك. وإثبات المفهوم الذي قدّمه الباحثون إضافةُ متصفح مسموح لها بتشغيل سكربتات على claude.ai. تفتح الإضافة نافذة منبثقة صغيرة في الخلفية، وتعثر على جلسة سطح المكتب المقترنة بحسابك، وترسل إلى Claude أربعة أوامر نصية، ثم تنقر بنفسها على زر السماح عند كل طلب موافقة. وفي العرض التوضيحي، يثبّت Claude حزمة يفتح سكربت التثبيت فيها تطبيق الآلة الحاسبة. وأنت لا تفعل شيئاً.

قبل أن تقلق، اقرأ الشرط: يجب أن تكون إضافة خبيثة مثبّتة مسبقاً ومسموحاً لها بالعمل على claude.ai. وبحسب الباحثين، فقد أبلغوا عن الثغرة في 14 مايو، فوصفتها Anthropic بأنها صحيحة لكنها معروفة داخلياً من قبل، ثم قالت في 13 أكتوبر إنها تستهدف نهاية أكتوبر لإيقاف Dispatch. وتفيد التقارير منذ ذلك الحين بأن Dispatch أُغلقت أمام المستخدمين الجدد، لكنها لا تزال تعمل لدى المستخدمين الحاليين. ولم تعلّق Anthropic علناً، لذا تعامل مع هذا التسلسل الزمني على أنه رواية الباحثين.

والدرس أكبر من Dispatch. فزر التأكيد لا يثبت الموافقة إلا إذا نقر عليه إنسان. وفي صفحة تتحكم فيها إضافة، لا شيء يخبرك بمن نقر.

3. بريدك في ترويسة

أما القصة الثالثة فكتبتُ عنها قبل أيام: وضع Claude Code بريد الحساب المسجَّل في User-Agent للطلبات المرسلة إلى مواقع أخرى. القصة كاملة، والإصلاح في الإصدار 2.1.317، وما لا يغطيه هذا الإصلاح، كلها في مقال سرّب Claude Code بريدك الإلكتروني.

نقطة ضعف واحدة

ضع القصص الثلاث جنباً إلى جنب، تجدها قصة واحدة. لم يتعطّل النموذج، بل تعطّلت الموافقة: «نعم» صارت إعداداً دائماً، و«نعم» أعطاها سكربت نيابةً عنك، وسؤال لم يطرحه أحد.

ما الذي يجب فحصه الآن

ابحث عن الملف. شغّل في كل مستودع الأمر git ls-files | grep settings.local.json. فإذا ظهر، شغّل git rm --cached .claude/settings.local.json وأضف .claude/settings.local.json إلى .gitignore.
غيّر كل ما احتواه يوماً. حذف الملف لا ينظّف سجل Git، ولا النسخ المتفرّعة أو المستنسخة. تحقّق بالأمر git log --all -p -- .claude/settings.local.json، وغيّر كل مفتاح تجده هناك.
أبقِ الأسرار خارج الأوامر. دع الوكيل يقرأها من متغير بيئة. ووافق على أنماط مثل Bash(npm run test *)، لا على أمر واحد بداخله token. ويكفي لذلك سطر واحد في AGENTS.md: لا تكتب قيمة سرّية في أي أمر أبداً.
راجع إضافات متصفحك. احذف ما لا تستعمله منها، وتمعّن جيداً في أي إضافة تملك صلاحية «قراءة بياناتك وتغييرها على جميع المواقع». واعمل في ملف تعريف مستقل للمتصفح لا يضم إلا الإضافات التي تحتاجها.
أوقف ما لا تستعمله. الميزات البعيدة والعابرة للأجهزة، مثل Dispatch، مكانها قائمة الأشياء التي يفعّلها الفريق عن قصد، لا افتراضياً.
افحص الإصدار. شغّل claude --version على كل جهاز، ويجب أن يكون الإصدار 2.1.317 أو ما بعده، من أجل الإصلاح الجزئي لمشكلة البريد.

أول فحصين، في صورة أوامر يمكنك لصقها في كل مستودع:

# 1. هل الملف متتبَّع؟
git ls-files | grep settings.local.json
 
# 2. أوقف تتبّعه وتجاهله من الآن فصاعداً
git rm --cached .claude/settings.local.json
echo ".claude/settings.local.json" >> .gitignore
 
# 3. كل ما احتواه يوماً، في كل الفروع: غيّر ما تجده
git log --all -p -- .claude/settings.local.json
 
# 4. إصدار Claude Code على هذا الجهاز
claude --version

لا شيء من هذا يحتاج إلى فريق أمن. يحتاج إلى ربع ساعة، وإلى شخص يتولّى المسؤولية عنه.

المصادر

Apiiro, Coding Agents Are Leaking Your Secrets to GitHub, 5 نوفمبر 2026
Gal Weizman, Forever Security, ThisBash Escape: Claude Dispatch Flaw Enables Browser Extensions RCE on the OS, 4 نوفمبر 2026