Co się wydarzyło
Claude Code – sekrety w pliku „nie pytaj ponownie”. Apiiro ustaliło, że gdy użytkownik wybiera opcję „Yes, and don’t ask again”, Claude Code zapisuje zatwierdzone polecenie dosłownie w pliku ustawień lokalnych w katalogu .claude projektu – razem z hasłem lub tokenem, jeśli było częścią polecenia. Z 104 185 publicznych kopii tego pliku na GitHubie 1122 zawierały co najmniej jeden sekret; łącznie 1379 unikalnych sekretów, m.in. 379 haseł do baz danych, 43 loginy SSH i 23 klucze AWS. Popularne skanery (Gitleaks, TruffleHog) nie wykryły 215 z tych plików. Claude Code dodaje plik do globalnych wykluczeń git użytkownika, ale nie do pliku .gitignore projektu, więc ochrona nie przechodzi na innych współpracowników.
Claude Dispatch – polecenia z rozszerzenia przeglądarki. Gal Weizman (Forever Security) wykazał, że interfejs Dispatch, który przekazuje zadania z telefonu lub przeglądarki do Claude Desktop, jest osiągalny z zalogowanej sesji claude.ai. Złośliwe lub przejęte rozszerzenie przeglądarki z dostępem do claude.ai może więc wysyłać polecenia wykonywane na komputerze użytkownika. Według The Register Anthropic uznał zgłoszenie za duplikat znanego problemu i zapowiadał wycofanie Dispatch; badacz wskazuje, że podobnie narażone są sesje Cowork i Claude Code Remote Control.
ChatGPT – obejście trybu Lockdown. Check Point opisał obejście trybu Lockdown, który ma ograniczać wyciek danych przez prompt injection: podglądy HTML w blokach kodu pozwalały otworzyć okno wyskakujące poza sandboksem i wyprowadzić treść rozmów. OpenAI naprawiło lukę 18 września 2026, przed publikacją badania.
Najważniejsze ustalenia
- Claude Code: 1122 publiczne pliki z sekretami (1,1% z 104 185), 1379 unikalnych sekretów u 63 organizacji; z uwzględnieniem historii i zapisanych rozmów – 2539 sekretów w 1994 repozytoriach.
- Claude Dispatch: przejęcie wymaga rozszerzenia przeglądarki z dostępem do claude.ai oraz włączonego Dispatch; brak CVE i poprawki, Anthropic zapowiadał wycofanie funkcji.
- ChatGPT Lockdown Mode: obejście przez okna wyskakujące z podglądu HTML; poprawione 18.09.2026, ujawnione 5.11.2026.
- Wspólny mianownik: zabezpieczenia samego asystenta są tylko tak mocne jak jego otoczenie – repozytorium, przeglądarka i jej rozszerzenia, uprawnienia lokalne.