Rassegna preparata con l'IA a partire dalle fonti linkate, sotto la supervisione di Alberto Gaia.
Una delle scorciatoie più comode di Claude Code ha lasciato in giro password e chiavi: secondo una ricerca di Apiiro ripresa da The Hacker News, il file in cui l’agente salva i comandi approvati con “Yes, and don’t ask again” compare su GitHub in 1.122 copie pubbliche che contengono almeno un segreto. A seguire, le nuove cause di Elvis ed Eminem contro Suno e un’inchiesta del New York Times sulle aziende cinesi autorizzate a comprare i chip H200 di Nvidia.
Claude Code e GitHub: 2.539 segreti nei file dei permessi
Quando si approva un comando in Claude Code scegliendo “Yes, and don’t ask again”, lo strumento può salvarlo così com’è in .claude/settings.local.json, dentro la cartella del progetto, compresi password o token scritti nel comando. Apiiro ha cercato questo file nei repository pubblici di GitHub e ne ha trovate 104.185 copie in 103.617 repository: 1.122 (circa l’1,1%) contengono almeno un segreto, per un totale di 1.379 segreti distinti. Tra questi ci sono 379 password di database, 43 accessi SSH a server pubblici, 42 token di GitHub, GitLab e npm e 23 chiavi AWS, riconducibili a 63 organizzazioni, come riporta The Hacker News.
Contando anche i file settings.json, le versioni precedenti nella cronologia git e i log delle chat degli agenti, il conto sale a 2.539 segreti in 1.994 repository. Dei 1.122 file, Gitleaks ne segnala 564 e TruffleHog 643, mentre 215 sfuggono a entrambi. Su 16 agenti di programmazione confrontati, Claude Code è l’unico che salva di default il comando completo in un file di progetto. L’articolo non riporta correzioni o dichiarazioni di Anthropic, e le segnalazioni collegate aperte su GitHub sono state chiuse da un bot per inattività. I ricercatori consigliano di cambiare ogni segreto finito nel file, toglierlo da git, aggiungerlo al .gitignore e approvare schemi di comandi invece di comandi esatti.
Elvis ed Eminem fanno causa a Suno
Sono arrivate due nuove cause federali contro Suno, il generatore di musica con l’IA. La prima è dei titolari dei diritti di Elvis Presley, tra cui Authentic Brands Group e Raleigh Music Publishing: accusano Suno di aver addestrato i modelli su musica protetta senza permesso e di consentire agli utenti di imitare voce e stile di Presley. Nella denuncia, depositata in California, viene invocato anche l’ELVIS Act, la legge del Tennessee del 2024 contro la clonazione non autorizzata delle voci. Lo stesso gruppo a ottobre aveva fatto causa ad Anthropic per l’uso di 274 brani nell’addestramento di Claude (Variety).
La seconda causa è di Eight Mile Style, l’editore che gestisce quasi 270 composizioni di Eminem (il rapper non è tra i ricorrenti), ed è stata depositata nel tribunale federale di San Francisco. Chiede 150.000 dollari per ciascuno dei 269 brani, circa 40,4 milioni, più 672.000 dollari per la presunta rimozione delle informazioni sul copyright dai brani usati nell’addestramento: in tutto oltre 41 milioni, come riporta il Detroit Free Press. Suno respinge le accuse: dice di esistere per aiutare le persone a creare musica originale e di vietare i prompt che citano artisti o brani specifici.
Pausa dalla rassegna, giusto il tempo di una vignetta.
Chip Nvidia H200 a un’azienda cinese con l’ufficio vuoto
Il New York Times ha pubblicato sabato un’inchiesta su New Matrix, società cinese che il Dipartimento del Commercio statunitense ha autorizzato quest’anno ad assemblare i chip H200 di Nvidia in server per l’IA. All’indirizzo dichiarato i giornalisti hanno trovato locali vuoti, e l’agenzia che gestisce il parco industriale ha detto di non avere traccia dell’azienda. Dai registri societari cinesi i proprietari risultano collegati a Wise Road, fondo di private equity cinese inserito nella lista nera commerciale degli Stati Uniti nel 2024, e due analisti sentiti dal giornale ritengono che New Matrix possa fare da copertura per società legate al fondo.
Nelle stesse ore TechCrunch ha rilanciato il contenuto di un memo dell’intelligence statunitense, già riportato dal NYT: il ministero cinese della Sicurezza di Stato avrebbe reclutato Alice Huang, dirigente della singaporiana Megaspeed, per spiare l’amministratore delegato di Nvidia Jensen Huang. Un portavoce di Nvidia ha detto che i contatti tra i due non erano insoliti e che l’azienda non condivide informazioni riservate con i clienti.
Sugli agenti di programmazione e su come gestirli c’è anche la guida del blog su agenti e routine di Claude Code. E voi, prima di un commit, controllate cosa finisce nei file di configurazione dei vostri agenti?
Lascia un commento