EN
Hírek · 2026. nov. 12., csütörtök

Kiszivárgó kulcsok a Claude Code engedélyfájljában

14 hírlevél alapján · 8 kipróbálható · 4 figyelendő · 5 rövid hír
M2
A mai legfontosabb a K1: ha Claude Code-ban valaha jóváhagytál egy jelszót vagy API-kulcsot tartalmazó parancsot a „Don't ask again” gombbal, az a kulcs szó szerint ott lehet egy projektfájlban, és onnan felkerülhet a GitHubra.

🛠 Kipróbálható ötletek

K1

Claude Code: kulcsok a .claude/settings.local.json-ban

sürgős ellenőrzés

Ha egy Bash-parancsot a „Don't ask again” gombbal hagyunk jóvá, a Claude Code szó szerint elmenti a parancsot egy allow a projekt .claude/settings.local.json fájljában. Ha a parancsban jelszó vagy kulcs volt, akkor az is bekerül. Ez a fájl elvileg helyi marad, de bekerülhet a : ha kézzel hozták létre, ha git add -f-fel adták hozzá, vagy ha már korábban követett fájl volt. Az Apiiro kutatása 1122 nyilvános GitHub-fájlban 1379 valódi titkot talált (adatbázis-jelszavakat, SSH-belépéseket, tokeneket), tágabb kereséssel 2539-et. A titokkereső eszközök a fájlok egy részét nem vették észre. A források a számokban eltérnek: a hírlevél 1122 fájlt, más cikkek 1379 vagy 2539 titkot írnak, ezek különböző mérések.

  • K1a
    Ellenőrzés érdemes minden projektben lefuttatni: git ls-files | grep settings.local.json és git log --all --oneline -- .claude/settings.local.json, majd a fájlban Bash(...) szabályokat keresni jelszóval, -p kapcsolóval vagy tokennel.
  • K1b
    Javítás előbb minden kulcsot és jelszót le kell cserélni, ami a fájlban valaha szerepelt, mert a törlés nem hatástalanítja a már kikerült másolatokat. Utána: git rm --cached .claude/settings.local.json, felvétel a .gitignore-ba, és a titkot tartalmazó szabályok törlése.
  • K1c
    GrantGuard a Vanta nyílt forráskódú eszköze átnézi a Claude Code „always allow” szabályait, és megjelöli a kockázatosakat (beégetett kulcs, rm -rf, git push *). Futtatás: ; a projektmappák bevonásához a --scan kapcsoló kell. Csak olvas, és csak megerősítés után töröl. github.com/OpenVanta/GrantGuard
Források: The Code Cybersecurity · apidog.com/blog/claude-code-dont-ask-again-api-key-leak/
K1-N1
Ha Claude Code-ot használsz, futtasd le a K1a-t minden projekted mappájában, különösen ott, ahol adatbázis- vagy SSH-jelszóval dolgoztál.
K1-N2
Ezentúl a jelszavakat környezeti változóként add meg (pl. $DB_PASS), így a jóváhagyott szabályba csak a változó neve kerül be, maga a jelszó nem.
Téma: API-kulcsok és titkok védelme · A téma további részei: nov. 12. / F1, nov. 13. / F3, nov. 13. / K6, nov. 14. / K5
K2

Heti biztonsági frissítések: Git, Chrome, Outlook

  • K2a
    Git 2.56.1 a hiba miatt egy rosszindulatú repó rekurzív klónozáskor (--recursive, almodulokkal) kódot futtathat a gépen. Javítva a 2.56.1-ben, illetve a 2.55.1, 2.54.1 stb. kiadásokban. Macen: git --version, majd frissítés Homebrew-val (brew upgrade git) vagy az Xcode Command Line Tools frissítésével. A GitHub Desktop saját Git-et hoz, azt külön kell frissíteni. Forrás: The Code Cybersecurity · github.blog/open-source/git/git-security-vulnerabilities-announced-7/
  • K2b
    Chrome az idei nyolcadik, már aktívan kihasznált hiba (az XML-feldolgozóban). Frissíteni kell, és újraindítani a böngészőt. Forrás: TLDR InfoSec
  • K2c
    Outlook (CVE-2026-124194) egy rosszindulatú üzenetfájl megnyitásakor a Windows-belépési adat () kiszivárog, és a támadó ezzel a felhasználó nevében léphet be. A hibát már kihasználják. Fontos: a javítás az Office-frissítéssel jön, nem a Windows-frissítéssel. Forrás: The Code Cybersecurity, WSJ Pro (1094 javítás a novemberi )
K2-N
A K2a-t végezd el a saját fejlesztői gépeden és a szervereiden (git --version). Ha a cégednél vagy intézményednél Windows-os gépek vannak, a K2c-t ott ellenőrizd: az Office-ban a Fájl / Fiók / Frissítési beállítások menüben.
K3

„Audit” parancs új modellhez és Addy Osmani 10 tanácsa

  • K3a
    Újraellenőrzés új modellel egy anthropicos mérnök minden új modell megjelenésekor lefuttatja a projektjein: /model (a legújabbra váltás), majd a prompt: „Read this entire project and find everything that's broken, inconsistent, inefficient, or no longer needed. Fix what you're sure about and list the rest for me to review.” A .claude/commands/audit.md fájlba mentve onnantól /audit-tal hívható. Forrás: The Code
  • K3b
    Az ügynökkel úgy dolgozzunk, mint egy vezető a legfontosabbak Addy Osmani 10 pontjából: (1) adjunk az ügynöknek ellenőrzési lehetőséget (tesztet, képernyőképet); (2) ami a kódból nem látszik (cél, korlátok, mikor van kész), azt írjuk le neki; (3) ha ugyanazt a hibát kétszer javítjuk, kerüljön a CLAUDE.md-be; (4) ha két javítás után is rossz irányba megy, inkább új munkamenet jobb prompttal; (5) felügyelet nélküli futás előtt meg kell határozni, mi számít késznek, és ki hagyja jóvá. Forrás: The Code
K3-N
Ha Claude Code-dal fejlesztesz, mentsd el az audit promptot /audit parancsként, és futtasd le most a meglévő projektjeiden. A nov. 13-i K4-ben szereplő Fable 5.2 promptolási útmutatóval együtt jól használható; a K3b (3) pontját pedig szokd meg napi rutinként.
Téma: Claude Fable 5.2 · A téma további részei: nov. 11. / R1, nov. 11. / K2, nov. 13. / K4
K4

Döntési modell az LLM helyett: az Amazon 44-szer olcsóbban címkéz

Az Amazon egy belső jegykezelő rendszerben a Claude Sonnet 4.6-ot a saját Strands Decider modelljére cserélte, amely nem szöveget generál, hanem valószínűséget ad előre megadott címkékre. A pontosság azonos maradt, a költség jegyenként 0,022 $-ról 0,0005 $-ra esett, a válaszidő 4,2 mp-ről 0,9 mp-re. A tanulságok: a címkéket 1–2 mondatos kritériumként kell megfogalmazni, kell egy „egyik sem” opció, és a régi meg az új megoldást egy ideig párhuzamosan érdemes futtatni. A modell kis kontextusú (4096 ), magyarázó szöveget nem ad, és saját szerveren (GPU-n) kell futtatni.

Forrás: The Code · strandsagents.com/blog/amazon-saves-millions-replacing-sonnet-with-str
K4-N
Ha AI-jal leveleket, hírleveleket vagy jegyeket szeretnél címkézni (pl. promó / figyelni kell / kérdéses), írd le a címkéket 1–2 mondatos kritériumként, „egyik sem” opcióval. Saját nélkül a felhőben futó Gemini Decisions (nov. 13 / K2) valószínűleg egyszerűbb kiindulópont.
Téma: Olcsó modellek címkézésre és szűrésre · A téma további részei: nov. 11. / F3, nov. 13. / K2, nov. 14. / F3
K5

Kétlépcsős „emberibb szöveg” prompt cikkekhez

A nyílt forráskódú STE80 Humanizer skill két menetben javítja az AI-szagú szöveget. Először kiszed 26 tipikus AI-fordulatot, aztán a mondatokat rövid, cselekvő szerkezetűre írja át, egy mondat = egy gondolat elv alapján. Telepítés nélkül is kipróbálható ezzel a prompttal (magyarul is működik): „Írd át ezt a vázlatot közérthetőre. Tarts meg minden tényt, számot, nevet és forrásállítást. Ahol pontos, használj cselekvő szerkezetet; egy mondatban egy fő gondolat legyen; az elvont kifejezéseket cseréld konkrét szereplőkre és cselekvésekre; töröld az ismétlődő következtetéseket és a töltelék-átvezetéseket. Ne adj hozzá új tényt, viccet vagy magabiztosságot. A végén sorold fel azt a három mondatot, amelyik még mindig túl sok gondolatot hordoz.” Utána érdemes hangosan felolvasni, és visszaadni a stílust, ahol túl steril lett. Szépirodalomhoz és reklámszöveghez csak az első menet ajánlott.

Forrás: The Neuron · github.com/Dodaios/ste80-humanizer
K5-N
Ha helyi híreket vagy sportcikkeket írsz AI-vázlatból, futtasd le a fenti promptot egy kész vázlaton. A nov. 13 / K7 „declauding” skilljével együtt az egyik a fordulatokat szedi ki, a másik a mondatszerkezetet javítja.
Téma: Emberibb AI-szöveg · A téma további részei: nov. 13. / K7
K6

HA-MCP: Home Assistant vezérlése Claude-dal

Nyílt forráskódú -szerver, amelyen keresztül a Claude automatizálásokat, szkripteket és irányítópultokat hozhat létre és javíthat a Home Assistantben, és naplókat is elemezhet. Kb. 87 eszközt ad; a beépített HA MCP-szerverrel szemben mindenhez hozzáfér, nem csak az Assistnak kiajánlott eszközökhöz. Telepítés -ből vagy a Marketplace-ből (Home Assistant 2026.8+). Claude Code-hoz telepítőszkript tartozik --claude-code kapcsolóval. Biztonság: érdemes neki külön, csak helyi hálózatról elérhető admin fiókot létrehozni. Az URL végére írt /readonly-val csak olvasni tud, és az írási műveletekhez jóváhagyás kérhető.

Forrás: TLDR DevOps · github.com/homeassistant-ai/ha-mcp
K6-N
Ha az otthoni IoT-eszközeidet Home Assistant fogja össze, kezdj /readonly módban (pl. „miért kapcsolt fel éjjel a lámpa?”). A távoli elérés VPN-en (pl. WireGuardon) keresztül menjen, ne nyilvános titkos URL-lel.
K7

Ingyenes teljes limit-visszaállítás Claude-ban (dec. 10-ig)

Mert hibák miatt a használati keret gyorsabban fogyott a kelleténél, minden fizetős (Pro, Max, Ultra, Team) felhasználó kap egy ingyenes, teljes limit-visszaállítást minden modellre. Dec. 10-én 14:00 PT-ig (közép-európai idő szerint 23:00-ig) lehet beváltani, a felületen pontos lejárati idő is látszik.

Forrás: Claude Code Daily · x.com/ClaudeDevs/status/2120275296637321476
K7-N
Ha fizetős Claude-előfizetésed van, tartogasd a visszaállítást egy nagyobb fejlesztési vagy írási napra, amikor amúgy elfogyna a keret.
K8

Ellenőrzött telepítés curl | sh helyett (installctl)

Az installctl egy elszigetelt rétegben futtatja le a „másold be és futtasd” típusú telepítőszkripteket, aztán kilistázza, mely fájlokat hozták létre, módosították vagy törölték, és a felhasználó dönti el, mit alkalmaz belőle. Csomagtelepítésnél, új felhasználó létrehozásánál, systemctl- és crontab-módosításnál megáll és kérdez, a végén pedig eltávolító szkriptet ír. Figyelem: használ, ezért Linuxra való, Macen nem fut.

Forrás: TLDR InfoSec · github.com/yamixst/installctl
K8-N
Ha Linuxos szervert vagy VPS-t üzemeltetsz, idegen telepítőszkript előtt hasznos. Macen ehelyett: előbb töltsd le a szkriptet, olvastasd el a Claude-dal, és csak utána futtasd.

👀 Érdemes figyelni / ❓ Kérdéseket vet fel

F1

Az AI-kulcsok a hackerek új zsákmányai

A Railway mellett kb. egy tucat AI-fejlesztői platformot törtek fel egy hónap alatt, főleg az ügyfelek -kulcsaiért. A Railway-ügyben a WSJ legalább 750 000 $, a The Code kb. 740 000 $ jogosulatlan AI-költségről ír. A támadó a kiszivárgott forráskódot AI-ügynökökkel átfésülve órák alatt talált második bejutási pontot. Tanulság: az AI-szolgáltatói kulcsokon legyen havi költségkorlát, és csak a szükséges jogosultságot kapják. (WSJ Pro Cybersecurity, The Code Cybersecurity)

Téma: API-kulcsok és titkok védelme · A téma további részei: nov. 12. / K1, nov. 13. / F3, nov. 13. / K6, nov. 14. / K5
F2

Ne legyen a neten adminfelület

A Barracuda e-mail-átjáró és az N-able N-central hibáit (az utóbbiból 33 nulladik napi) azért lehet kihasználni, mert az adminkonzol elérhető az internetről. A kérdés bármely kisebb rendszerre: a router felügyeleti felülete, a WordPress /wp-admin és a szerverek adminfelülete csak VPN-ről érhető el? (TLDR InfoSec)

F3

Gemini a Gmailben alapból bekapcsolva

A Google Workspace-ben minden 18+ felhasználónál alapértelmezetten bekapcsol a levélszál-összefoglaló és az „Írj nekem” funkció, a rollout nov. 10-étől 15 napig tart. Egészségügyi vagy más érzékeny adatot kezelő szervezeteknél érdemes eldönteni, kell-e ez az ilyen levelekhez, mert adminként kikapcsolható. (TLDR IT)

F4

Apple „Harbor”: a Mac mint privát AI-szerver

Az Apple Claris leányvállalata tesztel egy appot, amely Apple Silicon Maceket helyi AI-szerverré alakít, akár több Mac memóriáját Thunderbolt 5-ön összefogva. Egyelőre korai hozzáférésben van, ára ismeretlen. Kisebb irodai szervercserénél érdemes szem előtt tartani. (TLDR)

📰 Röviden

R1
Az Anthropic bemutatta a Claude Sheets, Whiteboards és Data (korábban Dashboards) funkciót fizetős csomagokban, a Claude Meetings pedig béta Team/Enterprise ügyfeleknek; az Apps teljes weboldalt is be tud ágyazni a Claude-ba. (TechCrunch, TLDR AI, Superhuman, The Neuron, Claude Code Daily)
Téma: Claude munkahelyi funkciói · A téma további részei: nov. 11. / R3, nov. 13. / R2, nov. 14. / R3
R2
Megjelent a Gemini 4 Carbon, a Google legerősebb modellje: nov. 30-ig 2 $ / 10 $ millió bemeneti/kimeneti tokenenként, utána a The Neuron szerint duplájára emelkedik; a TLDR-ek „bevezető árat” írnak, a duplázást nem említik. (TLDR AI, TLDR Dev, TLDR, Superhuman, The Neuron)
R3
Az Anthropic tőzsdei bevezetése: 825 M részvény 70–78 $-os sávban, ANT jelöléssel a Nasdaqon; a WSJ szerint ez kb. 1,3 billió $-os értékelés. (TLDR AI, TLDR, The Neuron, TechCrunch)
Téma: Az Anthropic tőzsdei bevezetése · A téma további részei: nov. 11. / R2, nov. 14. / R2
R4
Jensen Huang (Nvidia) beismerte a viszonyát egy feltételezett kínai hírszerzési ügynökkel; az igazgatótanács vizsgálatot indított, a Kongresszus meghallgatást kér. (TLDR InfoSec, TechCrunch ×2)
Téma: Vezetőváltás az Nvidiánál · A téma további részei: nov. 11. / R5, nov. 13. / R1, nov. 14. / R1
R5
Az Amazon Ring 250 $-os beltéri drónkamerát (jan. 27-től, FCC-engedélytől függően) és 1000 $-os járőröző robotot (dec. 16-tól) jelentett be. (TLDR, The Neuron)
Téma: Amazon Ring robotkamerák · A téma további részei: nov. 13. / R4

14 hírlevél alapján, mesterséges intelligencia segítségével készült összefoglaló. A tételek a források rövid, saját szavas kivonatai; a részletekért kövesd a linkeket.

🔎 Keresés és szűrés az összes nap között