Ötlettár · 2026. nov. 12., csütörtök

Kiszivárgó kulcsok a Claude Code engedélyfájljában

14 hírlevél alapján · 8 kipróbálható ötlet · 4 figyelendő téma

🛠 Kipróbálható ötletek

K1

Claude Code: kulcsok a .claude/settings.local.json-ban

🛠Kipróbálhatósürgős ellenőrzés

Ha egy Bash-parancsot a „Don't ask again” gombbal hagyunk jóvá, a Claude Code szó szerint elmenti a parancsot egy allow a projekt .claude/settings.local.json fájljában. Ha a parancsban jelszó vagy kulcs volt, akkor az is bekerül. Ez a fájl elvileg helyi marad, de bekerülhet a : ha kézzel hozták létre, ha git add -f-fel adták hozzá, vagy ha már korábban követett fájl volt. Az Apiiro kutatása 1122 nyilvános GitHub-fájlban 1379 valódi titkot talált (adatbázis-jelszavakat, SSH-belépéseket, tokeneket), tágabb kereséssel 2539-et. A titokkereső eszközök a fájlok egy részét nem vették észre. A források a számokban eltérnek: a hírlevél 1122 fájlt, más cikkek 1379 vagy 2539 titkot írnak, ezek különböző mérések.

  • K1a
    Ellenőrzésérdemes minden projektben lefuttatni: git ls-files | grep settings.local.json és git log --all --oneline -- .claude/settings.local.json, majd a fájlban Bash(...) szabályokat keresni jelszóval, -p kapcsolóval vagy tokennel.
  • K1b
    Javításelőbb minden kulcsot és jelszót le kell cserélni, ami a fájlban valaha szerepelt, mert a törlés nem hatástalanítja a már kikerült másolatokat. Utána: git rm --cached .claude/settings.local.json, felvétel a .gitignore-ba, és a titkot tartalmazó szabályok törlése.
  • K1c
    GrantGuarda Vanta nyílt forráskódú eszköze átnézi a Claude Code „always allow” szabályait, és megjelöli a kockázatosakat (beégetett kulcs, rm -rf, git push *). Futtatás: ; a projektmappák bevonásához a --scan kapcsoló kell. Csak olvas, és csak megerősítés után töröl. github.com/OpenVanta/GrantGuard
Források: The Code Cybersecurity · apidog.com/blog/claude-code-dont-ask-again-api-key-leak/
Kinek hasznos: minden Claude Code-felhasználónak, aki valaha adatbázis- vagy SSH-jelszót tartalmazó parancsot hagyott jóvá. Első lépés a K1a ellenőrzés; hosszú távon a jelszavakat környezeti változóként (pl. $DB_PASS) érdemes megadni, így a szabályba csak a változó neve kerül.
K2

Heti biztonsági frissítések: Git, Chrome, Outlook

🛠Kipróbálható
  • K2a
    Git 2.56.1a hiba miatt egy rosszindulatú repó rekurzív klónozáskor (--recursive, almodulokkal) kódot futtathat a gépen. Javítva a 2.56.1-ben, illetve a 2.55.1, 2.54.1 stb. kiadásokban. Macen: git --version, majd frissítés Homebrew-val (brew upgrade git) vagy az Xcode Command Line Tools frissítésével. A GitHub Desktop saját Git-et hoz, azt külön kell frissíteni. Forrás: The Code Cybersecurity · github.blog/open-source/git/git-security-vulnerabilities-announced-7/
  • K2b
    Chromeaz idei nyolcadik, már aktívan kihasznált hiba (az XML-feldolgozóban). Frissíteni kell, és újraindítani a böngészőt. Forrás: TLDR InfoSec
  • K2c
    Outlook (CVE-2026-124194)egy rosszindulatú üzenetfájl megnyitásakor a Windows-belépési adat () kiszivárog, és a támadó ezzel a felhasználó nevében léphet be. A hibát már kihasználják. Fontos: a javítás az Office-frissítéssel jön, nem a Windows-frissítéssel. Forrás: The Code Cybersecurity, WSJ Pro (1094 javítás a novemberi )
Kinek hasznos: kis irodák és intézmények rendszergazdáinak, valamint fejlesztőknek. Első lépés: a fejlesztői gépeken git --version, a Windows-os munkaállomásokon pedig az Office-ban a Fájl / Fiók / Frissítési beállítások menü ellenőrzése.
K3

„Audit” parancs új modellhez és Addy Osmani 10 tanácsa

🛠Kipróbálható
  • K3a
    Újraellenőrzés új modellelegy anthropicos mérnök minden új modell megjelenésekor lefuttatja a projektjein: /model (a legújabbra váltás), majd a prompt: „Read this entire project and find everything that's broken, inconsistent, inefficient, or no longer needed. Fix what you're sure about and list the rest for me to review.” A .claude/commands/audit.md fájlba mentve onnantól /audit-tal hívható. Forrás: The Code
  • K3b
    Az ügynökkel úgy dolgozzunk, mint egy vezetőa legfontosabbak Addy Osmani 10 pontjából: (1) adjunk az ügynöknek ellenőrzési lehetőséget (tesztet, képernyőképet); (2) ami a kódból nem látszik (cél, korlátok, mikor van kész), azt írjuk le neki; (3) ha ugyanazt a hibát kétszer javítjuk, kerüljön a CLAUDE.md-be; (4) ha két javítás után is rossz irányba megy, inkább új munkamenet jobb prompttal; (5) felügyelet nélküli futás előtt meg kell határozni, mi számít késznek, és ki hagyja jóvá. Forrás: The Code
Kinek hasznos: Claude Code-dal rendszeresen fejlesztőknek. Első lépés: az audit promptot elmenteni /audit parancsként, és a K3b (3) pontját napi rutinná tenni.
K4

Döntési modell az LLM helyett: az Amazon 44-szer olcsóbban címkéz

🛠Kipróbálható

Az Amazon egy belső jegykezelő rendszerben a Claude Sonnet 4.6-ot a saját Strands Decider modelljére cserélte, amely nem szöveget generál, hanem valószínűséget ad előre megadott címkékre. A pontosság azonos maradt, a költség jegyenként 0,022 $-ról 0,0005 $-ra esett, a válaszidő 4,2 mp-ről 0,9 mp-re. A tanulságok: a címkéket 1–2 mondatos kritériumként kell megfogalmazni, kell egy „egyik sem” opció, és a régi meg az új megoldást egy ideig párhuzamosan érdemes futtatni. A modell kis kontextusú (4096 ), magyarázó szöveget nem ad, és saját szerveren (GPU-n) kell futtatni.

Forrás: The Code · strandsagents.com/blog/amazon-saves-millions-replacing-sonnet-with-str
Kinek hasznos: aki nagy mennyiségű szöveget (leveleket, jegyeket, hírleveleket) címkéz AI-val. Első lépés: a címkéket 1–2 mondatos kritériumként leírni „egyik sem” opcióval; saját GPU nélkül a felhőben futó Gemini Decisions (nov. 13 / K2) egyszerűbb kiindulópont.
K5

Kétlépcsős „emberibb szöveg” prompt cikkekhez

🛠Kipróbálható

A nyílt forráskódú STE80 Humanizer skill két menetben javítja az AI-szagú szöveget. Először kiszed 26 tipikus AI-fordulatot, aztán a mondatokat rövid, cselekvő szerkezetűre írja át, egy mondat = egy gondolat elv alapján. Telepítés nélkül is kipróbálható ezzel a prompttal (magyarul is működik): „Írd át ezt a vázlatot közérthetőre. Tarts meg minden tényt, számot, nevet és forrásállítást. Ahol pontos, használj cselekvő szerkezetet; egy mondatban egy fő gondolat legyen; az elvont kifejezéseket cseréld konkrét szereplőkre és cselekvésekre; töröld az ismétlődő következtetéseket és a töltelék-átvezetéseket. Ne adj hozzá új tényt, viccet vagy magabiztosságot. A végén sorold fel azt a három mondatot, amelyik még mindig túl sok gondolatot hordoz.” Utána érdemes hangosan felolvasni, és visszaadni a stílust, ahol túl steril lett. Szépirodalomhoz és reklámszöveghez csak az első menet ajánlott.

Forrás: The Neuron · github.com/Dodaios/ste80-humanizer
Kinek hasznos: helyi újságíróknak, hír- és sportcikk-íróknak, akik AI-vázlatból dolgoznak. Első lépés: a fenti promptot egy kész vázlaton lefuttatni; a nov. 13 / K7 „declauding” skilljével együtt az egyik a fordulatokat szedi ki, a másik a mondatszerkezetet javítja.
K6

HA-MCP: Home Assistant vezérlése Claude-dal

🛠Kipróbálható

Nyílt forráskódú -szerver, amelyen keresztül a Claude automatizálásokat, szkripteket és irányítópultokat hozhat létre és javíthat a Home Assistantben, és naplókat is elemezhet. Kb. 87 eszközt ad; a beépített HA MCP-szerverrel szemben mindenhez hozzáfér, nem csak az Assistnak kiajánlott eszközökhöz. Telepítés -ből vagy a Marketplace-ből (Home Assistant 2026.8+). Claude Code-hoz telepítőszkript tartozik --claude-code kapcsolóval. Biztonság: érdemes neki külön, csak helyi hálózatról elérhető admin fiókot létrehozni. Az URL végére írt /readonly-val csak olvasni tud, és az írási műveletekhez jóváhagyás kérhető.

Forrás: TLDR DevOps · github.com/homeassistant-ai/ha-mcp
Kinek hasznos: Home Assistanttel okosotthont üzemeltetőknek. Első lépés: /readonly módban kipróbálni (pl. „miért kapcsolt fel éjjel a lámpa?”); távoli elérés VPN-en keresztül, ne nyilvános titkos URL-lel.
K7

Ingyenes teljes limit-visszaállítás Claude-ban (dec. 10-ig)

🛠Kipróbálható

Mert hibák miatt a használati keret gyorsabban fogyott a kelleténél, minden fizetős (Pro, Max, Ultra, Team) felhasználó kap egy ingyenes, teljes limit-visszaállítást minden modellre. Dec. 10-én 14:00 PT-ig (közép-európai idő szerint 23:00-ig) lehet beváltani, a felületen pontos lejárati idő is látszik.

Forrás: Claude Code Daily · x.com/ClaudeDevs/status/2120275296637321476
Kinek hasznos: fizetős Claude-előfizetőknek. Érdemes egy nagyobb fejlesztési vagy írási napra tartogatni, amikor amúgy elfogyna a keret.
K8

Ellenőrzött telepítés curl | sh helyett (installctl)

🛠Kipróbálható

Az installctl egy elszigetelt rétegben futtatja le a „másold be és futtasd” típusú telepítőszkripteket, aztán kilistázza, mely fájlokat hozták létre, módosították vagy törölték, és a felhasználó dönti el, mit alkalmaz belőle. Csomagtelepítésnél, új felhasználó létrehozásánál, systemctl- és crontab-módosításnál megáll és kérdez, a végén pedig eltávolító szkriptet ír. Figyelem: használ, ezért Linuxra való, Macen nem fut.

Forrás: TLDR InfoSec · github.com/yamixst/installctl
Kinek hasznos: Linuxos szervert vagy VPS-t üzemeltetőknek, akik idegen telepítőszkriptet futtatnak. Macen ehelyett: a szkriptet előbb letölteni, egy AI-val elolvastatni, és csak utána futtatni.

👀 Érdemes figyelni / ❓ Kérdéseket vet fel

F1

Az AI-kulcsok a hackerek új zsákmányai

👀Érdemes figyelni

A Railway mellett kb. egy tucat AI-fejlesztői platformot törtek fel egy hónap alatt, főleg az ügyfelek -kulcsaiért. A Railway-ügyben a WSJ legalább 750 000 $, a The Code kb. 740 000 $ jogosulatlan AI-költségről ír. A támadó a kiszivárgott forráskódot AI-ügynökökkel átfésülve órák alatt talált második bejutási pontot. Tanulság: az AI-szolgáltatói kulcsokon legyen havi költségkorlát, és csak a szükséges jogosultságot kapják. (WSJ Pro Cybersecurity, The Code Cybersecurity)

F2

Ne legyen a neten adminfelület

❓Kérdéseket vet fel

A Barracuda e-mail-átjáró és az N-able N-central hibáit (az utóbbiból 33 nulladik napi) azért lehet kihasználni, mert az adminkonzol elérhető az internetről. A kérdés bármely kisebb rendszerre: a router felügyeleti felülete, a WordPress /wp-admin és a szerverek adminfelülete csak VPN-ről érhető el? (TLDR InfoSec)

F3

Gemini a Gmailben alapból bekapcsolva

❓Kérdéseket vet fel

A Google Workspace-ben minden 18+ felhasználónál alapértelmezetten bekapcsol a levélszál-összefoglaló és az „Írj nekem” funkció, a rollout nov. 10-étől 15 napig tart. Egészségügyi vagy más érzékeny adatot kezelő szervezeteknél érdemes eldönteni, kell-e ez az ilyen levelekhez, mert adminként kikapcsolható. (TLDR IT)

F4

Apple „Harbor”: a Mac mint privát AI-szerver

👀Érdemes figyelni

Az Apple Claris leányvállalata tesztel egy appot, amely Apple Silicon Maceket helyi AI-szerverré alakít, akár több Mac memóriáját Thunderbolt 5-ön összefogva. Egyelőre korai hozzáférésben van, ára ismeretlen. Kisebb irodai szervercserénél érdemes szem előtt tartani. (TLDR)

📰 Röviden

R1
Az Anthropic bemutatta a Claude Sheets, Whiteboards és Data (korábban Dashboards) funkciót fizetős csomagokban, a Claude Meetings pedig béta Team/Enterprise ügyfeleknek; az Apps teljes weboldalt is be tud ágyazni a Claude-ba. (TechCrunch, TLDR AI, Superhuman, The Neuron, Claude Code Daily)
R2
Megjelent a Gemini 4 Carbon, a Google legerősebb modellje: nov. 30-ig 2 $ / 10 $ millió bemeneti/kimeneti tokenenként, utána a The Neuron szerint duplájára emelkedik; a TLDR-ek „bevezető árat” írnak, a duplázást nem említik. (TLDR AI, TLDR Dev, TLDR, Superhuman, The Neuron)
R3
Az Anthropic tőzsdei bevezetése: 825 M részvény 70–78 $-os sávban, ANT jelöléssel a Nasdaqon; a WSJ szerint ez kb. 1,3 billió $-os értékelés. (TLDR AI, TLDR, The Neuron, TechCrunch)
R4
Jensen Huang (Nvidia) beismerte a viszonyát egy feltételezett kínai hírszerzési ügynökkel; az igazgatótanács vizsgálatot indított, a Kongresszus meghallgatást kér. (TLDR InfoSec, TechCrunch ×2)
R5
Az Amazon Ring 250 $-os beltéri drónkamerát (jan. 27-től, FCC-engedélytől függően) és 1000 $-os járőröző robotot (dec. 16-tól) jelentett be. (TLDR, The Neuron)

14 hírlevél alapján, mesterséges intelligencia segítségével készült összefoglaló. A tételek a források rövid, saját szavas kivonatai; a részletekért kövesd a linkeket.