Claude Code Source Leak: Antrópico inesperadamente empaquetado 60MB Source Map, código completo restaurado
El 30 de marzo de 2026, un importante incidente de seguridad salió en AI!Antropopic AI herramienta de programación paquete npm de Claude Code inesperadamente contiene archivos de mapa de código completo (cli.js. Mapa, alrededor de 60MB), desde el cual los atacantes pueden restaurar todo el código fuente TipoScript. Esta es otra filtración del código fuente de Claude Code después de que fue publicado por primera vez en febrero de 2025. Aunque la fuga es un código cliente CLI y no implica pesos modelo o datos del usuario,Diseño interno de API, telemetría, herramientas de cifrado, protocolos de comunicación entre procesosLos detalles de la realización del núcleo están completamente expuestos. Este documento proporcionará un análisis detallado de los detalles técnicos del incidente, su alcance y recomendaciones para la respuesta.
Resumen de los acontecimientos
Según Chaofan Shou, investigadora interna de Fuzzland, una empresa de seguridad de la cadena de bloques, X.Claude Code v2.1.88 contiene el archivo de mapa de la fuente completa en el paquete npm:
| Campos | Detalles |
|---|---|
| Documentación | Cli.js.map |
| Tamaño | Aproximadamente 60MB (compresado) |
| Versión | v2.1.88 (publicado el 30 de marzo) |
| Versión anterior | v2.1.87 (29 de marzo, excluyendo el Mapa de la fuente) |
| Cambio de volumen | Surge de 17MB a 31MB |
El archivo fuente MapaNo debe aparecer en paquetes de liberación de producciónes el último accidente de construcción introducido.
Detalles técnicos
¿Qué es Mapa Fuente?
Mapa fuente se utiliza en el desarrollo de JavaScriptMapa código comprimido volver a la fuente original. Normalmente se utiliza para:
- Desarrollar depuración: depurar código comprimido en el navegador
- Seguimiento de errores: mapear el entorno de producción a la posición del código fuente
- Análisis de código: entender la estructura original del código de compresión
Nunca incluya el archivo fuente Mapa en el entorno de producciónporque expone el código fuente completo.
Análisis de la divulgación
Revertir el contenido del mapa de fuentes 1,906 texto completo de los archivos de Código de Claude, cubriendo:
- Diseño de API interna:API detalles de llamadas y especificaciones de interfaz
- Sistema de telemetría: Recopilación de datos y lógica de reporte
- Herramienta de cifrado: Cifrado seguro
- Acuerdo de comunicación entre procesos: Mecanismo IPC logrado
- Prompt Logic: Mensaje de núcleo interactivo de AI
Otros organizadores:
- Construir Configuración para Paquete.json, etc.
- Pesos modelo
- Datos de usuario
- Código del par de servidores
Historia: No la primera
Toma.No, Claude Code filtró primero el código fuente.:
| Hora | Eventos |
|---|---|
| Febrero 2025 | Claude Code también fue discutido públicamente por incluir el Mapa fuente cuando salió por primera vez. |
| Después de febrero 2025 | fuente perdida Archivo de mapa del paquete npm |
| 30 marzo 2026 | v2.1.88 Inclusión inesperada de la fuente Mapa |
Mientras que la fuente Map fue eliminado,La extracción del código fuente no se ha detenido.No lo sé. Hasta ahora, hay varios almacenes abiertos en GitHub que han collado el código fuente restaurado. Este post es parte de nuestra cobertura especial Egipto 2011. Consiguiendo casi mil estrellas.
Evaluación de los efectos
Para usuarios normales
No hay riesgo directo de seguridadNo lo sé. La filtración es Código CLI Código de realización de clientes, que no implica pesos modelo o datos de usuario.
Sí, Antrópico.
- Exposición de arquitectura interna: transparencia total de los detalles de la realización del núcleo
- Mecanismo de seguridad expuesto.: Los protocolos de cifrado y comunicación pueden analizarse
- Reducción de la ventaja competitiva: Las partes interesadas pueden estudiar su realización tecnológica
- Pérdida de contacto: Lógica central interactiva AI hecha pública
A la comunidad de desarrolladores
- Puedes aprender sobre la arquitectura de Claude Code.
- Posible creación de proyectos de código abierto
- Código auditable para investigadores de seguridad
Respuesta a las recomendaciones
Sí, Antrópico.
- Rehabilitación inmediataOtros organizadores
- Proceso de examen: proceso de compilación de cheques para evitar incidentes similares de repetición
- Versión Rollback: Considerar retirar v2.1.88 versión
- Auditoría de seguridad: Evaluación del impacto de seguridad de los códigos de fuga
- Fortalecimiento de la CI/CD: Agregar la detección de mapas fuente para construir proceso
Para desarrolladores
- Check Dependency: confirmar si se utilizan versiones v2.1.88
- Esperando la restauraciónOtros organizadores
- Actualización de seguridad: Actualizar a la versión restaurada a tiempo
Lecciones y revelaciones
Source Map Management
Medio ambiente de producciónNunca incluye fuente Archivo de mapaNo lo sé. Recomendaciones:
- Claramente separado en el proceso de construcción
- Auto-Detect Usando la herramienta CI/CD
- Configurar alerta de tamaño del paquete (v2.1.88 de 17 MB a 31MB, obviamente anormal)
2. Examen del proceso de construcción
El evento expuso el proceso de construcción:
- v2.1.87 no contiene la fuente Mapa
- v2.1.88 Inclusión de accidentes (sólo un día)
- Descripción de incertidumbres en configuración de construcción
3. Respuesta a los efectos rápidos
Después de conocer el incidente, la comunidad reaccionó rápidamente:
- X difusión rápida
- Repositorio de análisis de múltiples fuentes GitHub
- Los investigadores de seguridad comienzan a auditar.
Resumen
Claude Code, la fuga de fuentes fue un accidente.Típico accidente de proceso de construcciónNo lo sé. Si bien no hay riesgo directo de seguridad para los usuarios ordinarios, Antropopic ' s problemas con la gestión del proceso de construcción han sido expuestos.
Para AI,La seguridad del código es vital.No lo sé. Insinuaciones básicas, diseños de API, mecanismos de seguridad, si están expuestos, pueden ser utilizados por los competidores, o pueden ser estudiados por los atacantes.
El incidente causó una alarma para todos los desarrolladores:La gestión de mapas comerciales no puede ignorarse, la revisión del proceso de construcción debe ser rigurosaNo lo sé. En la era AI, la seguridad del código es la competitividad básica.
La seguridad de la construcción no es importante, la gestión de mapas fuente necesita precaución!