Claude Code Source Fuite: Anthropique emballée de façon inattendue Carte source 60Mo, code complet restauré

Le 30 mars 2026, un important incident de sécurité a éclaté à AI!Outil de programmation anthropique de l'IA Le paquet npm de Claude Code contient de façon inattendue des fichiers de carte source (cli.js. Carte, environ 60 Mo), à partir de laquelle les attaquants peuvent restaurer tout le code source TypeScript. C'est une autre fuite du code source de Claude Code après sa première sortie en février 2025. Bien que la fuite soit un code client de l'ICL et qu'elle n'implique pas de poids du modèle ni de données utilisateur,Conception d'API interne, télémétrie, outils de chiffrement, protocoles de communication interprocessusLes détails de la réalisation du noyau sont complètement exposés. Le présent document fournira une analyse détaillée des détails techniques de l'incident, de sa portée et des recommandations d'intervention.

Résumé des événements

Selon Chaofan Shou, chercheur stagiaire à Fuzzland, une société de sécurité de la chaîne de blocs, X.Claude Code v2.1.88 contient le fichier de carte source complet dans le paquet npm:

Champs	Détails
Documentation	Carte de Cli.js.
Taille	Environ 60 Mo (comprimés)
Version	v2.1.88 (publié le 30 mars)
Version précédente	v2.1.87 (29 mars, à l'exclusion de la carte source)
Changement de volume	Augmenter de 17 à 31 Mo

Le fichier source MapNe devrait pas apparaître dans les paquets de libération de productionest le dernier accident de construction introduit.

Détails techniques

Quelle est la carte source?

Source Map est utilisé dans le développement JavaScriptCarte compressée code retour à la source originale. Il est habituellement utilisé pour:

• Développer le débogage: débogage du code compressé dans le navigateur
• Suivi des erreurs : cartographie de l'environnement de production à la position du code source
• Analyse de code: comprendre la structure originale du code de compression

N'incluez jamais le fichier source Map dans l'environnement de productionparce qu'il expose le code source complet.

Analyse de la divulgation

Retourner le contenu de la carte source 1 906 textes complets des fichiers Claude Code, couvrant:

• Conception interne de l'API:Détails des appels API et spécifications de l'interface
• Système de télémétrie: Logique de collecte et de communication des données
• Outil de chiffrement: crypté sécurisé
• Accord de communication interprocessus: Mécanisme de la CIB atteint
• Une logique rapide: Message de base interactif AI

Autres organisateurs:

• Construisez la configuration pour Package.json etc.
• Poids du modèle
• Données utilisateur
• Code pair serveur

Histoire: Pas le premier

Ici.Non, Claude Code a d'abord divulgué le code source.:

Heure	Événements
Février 2025	Claude Code a également fait l'objet de discussions publiques pour inclure la carte source lors de sa première sortie.
Après février 2025	fichier de carte source perdu à partir du paquet npm
30 mars 2026	v2.1.88 Inclusion inattendue de la carte source

Alors que la carte source a été retirée,L'extraction du code source n'a pas cessé.Je ne sais pas. Jusqu'à présent, il y a plusieurs entrepôts ouverts sur GitHub qui ont rassemblé le code source restauré. Ce billet fait partie de notre couverture spéciale Egypte 2011. J'ai presque mille étoiles.

Évaluation d'impact

Pour les utilisateurs normaux

Aucun risque direct pour la sécuritéJe ne sais pas. La fuite est le code Claude CLI de réalisation client, qui ne comporte pas de poids de modèle ou de données utilisateur.

Oui, anthropique.

• Exposition à l'architecture interne: transparence totale des détails de réalisation de base
• Mécanisme de sécurité exposé.: Les protocoles de chiffrement et de communication peuvent être analysés
• Baisse de l'avantage concurrentiel: Les concurrents peuvent étudier leur réalisation technologique
• Fuite d ' intuition: La logique de base interactive de l'IA rendue publique

À la communauté des développeurs

• Vous pouvez en apprendre davantage sur l'architecture de Claude Code.
• Création éventuelle de projets open source
• Code vérifiable pour les chercheurs en sécurité

Réponse aux recommandations

Oui, anthropique.

• Réadaptation immédiateAutres organisateurs
• Processus d'examen: vérifier les processus de construction pour empêcher des incidents similaires de se reproduire
• Version RetourEnvisager de retirer la version v2.1.88
• Audit de sécurité: Évaluation de l'impact des codes de fuite sur la sécurité
• Renforcement de l'IC/DC: Ajouter la détection de carte source pour construire le processus

Pour les développeurs

• Vérifier la dépendance: confirmer si les versions v2.1.88 sont utilisées
• En attente de restaurationAutres organisateurs
• Mise à jour de sécurité: Mise à niveau vers la version restaurée dans le temps

Leçons et révélations

Gestion des cartes sources

Environnement de productionN'incluez jamais le fichier source MapJe ne sais pas. Recommandations

• Clairement séparé dans le processus de construction
• Détecter automatiquement en utilisant l'outil CI/CD
• Mettre en place une alerte de taille de colis (v2.1.88 de 17 Mo à 31 Mo, évidemment anormale)

2. Examen du processus de construction

L'événement a exposé le processus de construction:

• v2.1.87 ne contient pas de carte source
• v2.1.88 Inclusion des accidents (un jour seulement)
• Description des incertitudes dans la configuration de construction

3. Réaction rapide

Une fois l'incident connu, la communauté a réagi rapidement :

• X Diffusion rapide
• Dépôt d'analyse multi-sources GitHub
• Les chercheurs en sécurité commencent à vérifier.

Résumé

Claude Code, la fuite de la source était un accident.Accident typique du processus de constructionJe ne sais pas. Bien qu ' il n ' y ait pas de risque direct pour la sécurité des utilisateurs ordinaires, les problèmes d ' anthropie dans la gestion des processus de construction ont été exposés.

Pour AI,La sécurité du code est vitale.Je ne sais pas. Les indices de base, les conceptions d'API, les mécanismes de sécurité, s'ils sont exposés, peuvent être utilisés par les concurrents, ou peuvent être étudiés par les attaquants.

L'incident a frappé une alarme pour tous les développeurs:La gestion des cartes d'affaires ne peut être ignorée, l'examen des processus de construction doit être rigoureux.Je ne sais pas. À l'ère de l'IA, la sécurité du code est la compétitivité fondamentale.

Bâtir la sécurité n'est pas un problème, la gestion de carte source a besoin de prudence!