12 Nov 2026
di 
2 minuti di lettura
Password, chiavi di accesso e credenziali riservate pubblicate involontariamente su internet. È quanto emerso da un’indagine condotta dalla società di sicurezza informatica Apiiro, che ha individuato migliaia di informazioni sensibili finite senza protezione su GitHub, la piattaforma utilizzata dagli sviluppatori per condividere e gestire progetti software.
Al centro della vicenda c’è Claude Code, l’assistente per programmatori sviluppato da Anthropic, progettato per automatizzare diverse attività legate alla scrittura e alla gestione del codice. Una funzionalità pensata per velocizzare il lavoro avrebbe però generato un problema nella gestione delle informazioni riservate, esponendo dati che avrebbero dovuto rimanere esclusivamente sui computer degli utenti.
Come sono finite online le credenziali
Il problema sarebbe legato a una funzione che consente agli utenti di autorizzare determinate operazioni senza dover confermare ogni volta la richiesta del programma.
Quando viene attivata questa modalità, Claude Code memorizza le autorizzazioni in un apposito file presente sul computer. Il documento può contenere anche informazioni inserite nei comandi impartiti dall’utente, comprese password, chiavi di accesso e codici utilizzati per collegarsi a servizi esterni.
In condizioni normali, questi file dovrebbero restare locali e non essere condivisi pubblicamente. Tuttavia, secondo quanto rilevato da Apiiro, le impostazioni destinate a impedirne la pubblicazione non sempre funzionerebbero correttamente, soprattutto quando un progetto viene trasferito su un altro dispositivo o configurato successivamente.
Il risultato è che alcuni documenti contenenti informazioni riservate possono essere caricati automaticamente nei repository pubblici di GitHub, diventando potenzialmente accessibili a chiunque.
Oltre 100mila documenti pubblicati, più di mille con dati sensibili
I numeri emersi dall’indagine sono significativi. Apiiro avrebbe individuato oltre 100mila casi di documenti pubblicati senza protezione, riscontrando in più di mille situazioni la presenza effettiva di password e credenziali aziendali.
Un’esposizione particolarmente delicata perché queste informazioni potrebbero consentire a soggetti non autorizzati di accedere a servizi, infrastrutture digitali e sistemi informatici aziendali.
C’è inoltre un ulteriore elemento di rischio: una volta pubblicati su GitHub, i documenti possono essere copiati e conservati da altri utenti. Questo significa che la semplice eliminazione del file originale non garantisce necessariamente la cancellazione definitiva delle informazioni diffuse.
Anthropic al lavoro per risolvere il problema
La vicenda riporta l’attenzione sui rischi legati all’utilizzo degli strumenti di intelligenza artificiale nello sviluppo software, soprattutto quando questi possono interagire con file locali, servizi esterni e credenziali di accesso.
Gli sviluppatori di Claude Code hanno fatto sapere di essere al lavoro per individuare una soluzione e prevenire ulteriori esposizioni involontarie.
Nel frattempo, viene raccomandato agli sviluppatori di utilizzare strumenti di controllo per verificare la presenza di informazioni riservate all’interno dei propri progetti, prestando particolare attenzione ai file di configurazione e a quelli che registrano autorizzazioni e comandi.
L’episodio dimostra come anche una funzione progettata per rendere più semplice e veloce il lavoro possa trasformarsi in un potenziale punto debole per la sicurezza informatica. Con la crescente diffusione degli assistenti basati sull’intelligenza artificiale, la protezione delle credenziali e la gestione corretta dei dati locali diventano aspetti sempre più centrali.
