المصدر: Anthropic، غير متوقع، حزمت خريطة المصدر 60MB، واستعيدت المدونة الكاملة
في 30 مارس، 2026، حادث أمني كبير اندلع في AI!(أداة برمجة (أنثروبس كلود كود تحتوي بشكل غير متوقع على ملفات كاملة للمصدر Map, about 60MB)التي يمكن للمهاجمين أن يستعيدوا منها رمز المصدر هذا تسرب آخر لرمز (كلود) المصدري بعد أن تم إطلاقه في فبراير 2025 على الرغم من أن التسرب هو رمز عملاء في شركة CLI ولا يتضمن الأوزان النموذجية أو بيانات المستخدمين،تصميم نظام المعلومات الإدارية المتكامل الداخلي، القياس عن بعد، أدوات التشفير، بروتوكولات الاتصالات المشتركة بين العملياتThe details of the core realization are completely exposed. وستقدم هذه الورقة تحليلا مفصلا للتفاصيل التقنية للحادث ونطاقه وتوصياته من أجل الرد عليه.
موجز الأحداث
وفقاً لـ (شافان شو)، باحث متدرب في (فوزلاند)، شركة أمن سلسلة مبانٍ، (إكس).Claude Code v2.1.88 contains full source Map file in the npm package:
| الحقول | التفاصيل |
|---|---|
| الوثائق | Cli.js.map |
| الحجم | حوالي 60 ميغابايت (مكتئبة) |
| Version | v2.1.88 (نُشرت في 30 آذار/مارس) |
| الصيغة السابقة | v2.1.87 (29 آذار/مارس، باستثناء خريطة المصدر) |
| تغير الحجم | Surge from 17MB to 31MB |
ملف خريطة المصدرلا ينبغي أن تظهر في مجموعات إطلاقات الإنتاجهو آخر حادث بناء تم إدخاله
التفاصيل التقنية
ما هي خريطة المصدر؟
استخدام خريطة المصدر في تنمية جافاسكريبتالرمز المضغوط يعود إلى المصدر الأصليويُستخدم عادة في ما يلي:
- Develop debugging: debugging compressed code in browser
- Error tracking: mapping the production environment to the source code position
- تحليل الرموز: فهم الهيكل الأصلي لرمز الضغط
لا تشمل أبداً ملف خريطة المصدر في بيئة الإنتاجلأنه يكشف رمز المصدر الكامل
تحليل الكشف
Revert the source map contents 906 1 نسخة كاملة من ملفات كلود..
- التصميم الداخلي:API call details and interface specifications
- نظام التطبيب عن بعد: جمع البيانات ومنطق الإبلاغ
- أداة التشفير: Secure encrypted
- اتفاق الاتصالات بين العمليات: IPC mechanism achieved
- Prompt Logic: AI interactive core message
منظمات أخرى:
- Build Configuration for Package.json etc.
- الأوزان النموذجية
- بيانات المستعملين
- رمز الأقران
التاريخ: ليس الأول
هنالا، مدونة (كلود) سربت شفرة المصدر:
| الوقت | الأحداث |
|---|---|
| شباط/فبراير 2025 | كما نوقش قانون كلود علناً لإدراج خريطة المصدر عند ظهوره لأول مرة. |
| بعد شباط/فبراير 2025 | ملف خريطة المصدر المفقود من حزمة Npm |
| 30 آذار/مارس 2026 | v2.1.88 Unexpected inclusion of source Map |
بينما تم إزالة خريطة المصدراستخراج رمز المصدر لم يتوقفلا أعلم وحتى الآن، هناك العديد من المستودعات المفتوحة في جيت هوب التي جمعت شفرة المصدر المستعادة. وهذه الوظيفة هي جزء من تغطيتنا الخاصة لمصر عام 2011. الحصول على ما يقرب من ألف نجمة.
تقييم الأثر
للمستعملين العاديين
عدم وجود خطر أمني مباشرلا أعلم The leak is Claude Code CLI client realization code, which does not involve model weights or user data.
نعم يا (أنثروبيك)
- التعرض للهيكل الداخلي: الشفافية الكاملة في التفاصيل المتعلقة بالإعمال الأساسي
- تم كشف آلية الأمن: يمكن تحليل بروتوكولات التشفير والاتصال
- تخفيض الميزة التنافسية: Competing parties can study their technological realization
- تسرّب: AI interactive core logical made public
إلى مجتمع المطورين
- يمكنك أن تتعلم عن بنية كلود
- إمكانية إنشاء مشاريع مفتوحة شبيهة بالمصادر
- مدونة قابلة للمراجعة للباحثين الأمنيين
الرد على التوصيات
نعم يا (أنثروبيك)
- إعادة التأهيل الفوريمنظمات أخرى
- عملية الاستعراض: مراقبة عمليات بناء لمنع تكرار حوادث مماثلة
- الارتداد: Consider withdrawing v2.1.88 version
- مراجعة الحسابات الأمنية: Assessment of the security impact of leak codes
- Strengthening CI/CD: Add source Map detection to build process
للمطورين
- الإعالة: تأكيد ما إذا كانت النسخ من المادة 2-1-88 تستخدم
- انتظار الإصلاحمنظمات أخرى
- آخر المستجدات الأمنية: Upgrade to restored version in time
الدروس والكشف
إدارة الخرائط
بيئة الإنتاجلا تشمل أبداً ملف خريطة المصدرلا أعلم التوصيات:
- الفصل الواضح في عملية البناء
- Auto-Detect Using CI/CD Tool
- وضع تنبيه لحجم الطرد (v2.1.88 من 17MB إلى 31MB، ومن الواضح أنه غير طبيعي)
2 - استعراض عملية التشييد
وكشف الحدث عملية البناء:
- لا تتضمن خريطة المصدر
- 1-188 إدراج الحوادث (يوم واحد فقط)
- وصف أوجه عدم التيقن في تشكيلة البناء
3. Rapid impact Response
وبعد أن أصبحت الحادثة معروفة، ردت الجماعة بسرعة:
- X النشر السريع
- مستودع التحليل المتعدد المصادر
- بدأ الباحثون الأمن بمراجعة الحسابات
موجز
كلود كود، تسرب المصدر كان حادثاًحوادث عملية بناء نموذجيةلا أعلم بينما لا يوجد خطر أمني مباشر للمستعملين العاديين، مشاكل (أنثروبك) مع إدارة عمليات البناء قد تعرضت.
من أجل (آي آي)أمن الكود حيويلا أعلم ويمكن للمنافسين استخدام التلميحات الأساسية، أو تصميمات نظام المعلومات المسبقة عن علم، أو آليات السلامة، إذا ما كشفت، أو يمكن أن يدرسها المهاجمون.
The incident struck an alarm for all developers:لا يمكن تجاهل إدارة خريطة الأعمال، ويجب أن يكون استعراض عملية التشييد صارمالا أعلم In the AI era, code security is core competitiveness.
أمن المبنى ليس أمراً مهماً، إدارة خريطة المصدر تحتاج إلى تحذير!