क्लाउड कोड स्रोत लीक: एन्थ्रोपिक अप्रत्याशित रूप से पैक 60 एमबी स्रोत मानचित्र, पूर्ण कोड बहाल
30 मार्च 2026 को एआई में एक प्रमुख सुरक्षा घटना हुई!एन्थ्रोपिक एआई प्रोग्रामिंग टूल क्लाउड कोड का npm पैकेज अप्रत्याशित रूप से पूर्ण स्रोत मानचित्र फ़ाइलों (cli.js) को शामिल करता है। नक्शा, लगभग 60MB)जहां से हमलावर पूरे टाइपस्क्रिप्ट स्रोत कोड को पुनर्स्थापित कर सकते हैं। यह पहले फरवरी 2025 में जारी होने के बाद क्लाउड कोड के स्रोत कोड का दूसरा लीक है। हालांकि लीक एक सीएलआई क्लाइंट कोड है और इसमें मॉडल भार या उपयोगकर्ता डेटा शामिल नहीं है,आंतरिक एपीआई डिजाइन, टेलीमेट्री, एन्क्रिप्शन उपकरण, अंतर प्रक्रिया संचार प्रोटोकॉलमूल वास्तविकता का विवरण पूरी तरह से उजागर होता है। यह पेपर घटना के तकनीकी विवरण, इसके दायरे और जवाब के लिए सिफारिशों का विस्तृत विश्लेषण प्रदान करेगा।
घटनाओं का सारांश
Chaofan Shou, Fuzzland में एक इंटर्नल शोधकर्ता, एक ब्लॉक चेन सुरक्षा कंपनी, एक्स के अनुसार।क्लाउड कोड v2.1.88 में एनपीएम पैकेज में पूर्ण स्रोत मानचित्र फ़ाइल शामिल है:
| फील्ड | विवरण |
|---|---|
| दस्तावेज़ीकरण | Cli.js.map |
| आकार | लगभग 60MB (संपीड़ित) |
| संस्करण | v2.1.88 (30 मार्च को प्रकाशित) |
| पिछला संस्करण | v2.1.87 (29 मार्च, स्रोत मानचित्र को छोड़कर) |
| वॉल्यूम परिवर्तन | 17MB से 31MB तक की वृद्धि |
स्रोत मानचित्र फ़ाइलउत्पादन रिलीज पैकेज में प्रकट नहीं होना चाहिएनवीनतम निर्माण दुर्घटना शुरू हुई है।
तकनीकी विवरण
स्रोत मानचित्र क्या है?
स्रोत मानचित्र जावास्क्रिप्ट विकास में प्रयोग किया जाता हैमानचित्र संकुचित कोड वापस मूल स्रोत के लिएआमतौर पर इसका उपयोग किया जाता है:
- डीबगिंग का विकास: ब्राउज़र में संकुचित कोड को डीबगिंग करना
- त्रुटि ट्रैकिंग: स्रोत कोड स्थिति के लिए उत्पादन वातावरण को मैप करना
- कोड विश्लेषण: संपीड़न कोड की मूल संरचना को समझें
कभी उत्पादन वातावरण में स्रोत मानचित्र फ़ाइल शामिल नहींक्योंकि यह पूर्ण स्रोत कोड को उजागर करता है।
प्रकटीकरण विश्लेषण
स्रोत मानचित्र सामग्री को पलट दें 1,906 क्लाउड कोड फ़ाइलों का पूर्ण पाठ, कवर:
- आंतरिक एपीआई डिजाइनAPI कॉल विवरण और इंटरफ़ेस विनिर्देशों
- टेलीमेट्री सिस्टम: डेटा संग्रह और रिपोर्टिंग तर्क
- एन्क्रिप्शन उपकरणसुरक्षित एन्क्रिप्टेड
- अंतर-प्रक्रिया संचार समझौतेप्राप्त IPC तंत्र
- शीघ्र Logicएआई इंटरैक्टिव कोर संदेश
अन्य आयोजक:
- पैकेज.json आदि के लिए विन्यास का निर्माण
- आदर्श भार
- उपयोगकर्ता डेटा
- सर्वर सहकर्मी कोड
इतिहास: पहला नहीं
यहाँनहीं, क्लाउड कोड ने पहले स्रोत कोड को लीक किया।:
| समय | आयोजन |
|---|---|
| फरवरी 2025 | क्लाउड कोड को सार्वजनिक रूप से सोर्स मैप सहित चर्चा की गई थी जब यह पहली बार सामने आया था। |
| फरवरी 2025 के बाद | npm पैकेज से स्रोत मानचित्र फ़ाइल खो गया |
| 30 मार्च 2026 | v2.1.88 स्रोत मानचित्र के अनपेक्षित समावेश |
जबकि स्रोत मानचित्र को हटा दिया गया था,स्रोत कोड की निकासी बंद नहीं हुई है।मुझे नहीं पता। अब तक, गिटहब पर कई खुले गोदाम हैं जिन्होंने बहाल स्रोत कोड को मिलाया है। यह पोस्ट हमारे विशेष कवरेज मिस्र 2011 का हिस्सा है। लगभग एक हजार सितारे हो गए।
प्रभाव आकलन
सामान्य उपयोगकर्ताओं के लिए
कोई प्रत्यक्ष सुरक्षा जोखिममुझे नहीं पता। लीक क्लाउड कोड CLI क्लाइंट रियलाइजेशन कोड है, जिसमें मॉडल भार या उपयोगकर्ता डेटा शामिल नहीं है।
हाँ, एन्थ्रोपिक।
- आंतरिक वास्तुकला जोखिम: कोर प्राप्ति विवरण की पूर्ण पारदर्शिता
- सुरक्षा तंत्र उजागर।: एन्क्रिप्शन और संचार प्रोटोकॉल का विश्लेषण किया जा सकता है
- प्रतिस्पर्धी लाभ को अस्वीकार करना: Competing पार्टियों अपने तकनीकी वास्तविकता का अध्ययन कर सकते हैं
- Hint रिसाव: AI इंटरैक्टिव कोर लॉजिक ने सार्वजनिक किया
डेवलपर्स समुदाय के लिए
- आप क्लाउड कोड की वास्तुकला के बारे में जान सकते हैं।
- खुले स्रोत जैसी परियोजनाओं का संभावित निर्माण
- सुरक्षा शोधकर्ताओं के लिए लेखापरीक्षित कोड
सिफारिशों का जवाब
हाँ, एन्थ्रोपिक।
- तत्काल पुनर्वासअन्य आयोजक
- समीक्षा प्रक्रिया: समान घटनाओं को पुनरावर्ती से रोकने के लिए निर्माण प्रक्रियाओं की जांच करें
- संस्करण रोलबैकV2.1.88 संस्करण वापस लेने पर विचार करें
- सुरक्षा लेखा परीक्षा: रिसाव कोड के सुरक्षा प्रभाव का आकलन
- CI/CD को सुदृढ़ करना: प्रक्रिया बनाने के लिए स्रोत मानचित्र का पता लगाना
डेवलपर्स के लिए
- जाँच निर्भरता: पुष्टि करें कि क्या v2.1.88 संस्करणों का उपयोग किया जाता है
- बहाली के लिए प्रतीक्षाअन्य आयोजक
- सुरक्षा अद्यतन: समय में पुनर्स्थापना के लिए अपग्रेड
पाठ और प्रकटीकरण
स्रोत मानचित्र प्रबंधन
उत्पादन वातावरणकभी स्रोत मानचित्र फ़ाइल शामिल नहींमुझे नहीं पता। सिफारिश:
- निर्माण प्रक्रिया में स्पष्ट रूप से अलग
- CI/CD टूल का उपयोग करके ऑटो-डिटेक्ट
- पैकेज आकार चेतावनी सेट करें (v2.1.88 17MB से 31MB तक, स्पष्ट रूप से असामान्य)
2. निर्माण प्रक्रिया समीक्षा
घटना ने निर्माण प्रक्रिया को उजागर किया:
- v2.1.87 में स्रोत मानचित्र शामिल नहीं है
- v2.1.88 दुर्घटना समावेशन (केवल एक दिन)
- निर्माण विन्यास में अनिश्चितताओं का विवरण
3. रैपिड प्रभाव प्रतिक्रिया
घटना के बाद ज्ञात हो गया, समुदाय ने जल्दी से प्रतिक्रिया व्यक्त की:
- X तेजी से प्रसार
- GitHub बहु स्रोत विश्लेषण भंडार
- सुरक्षा शोधकर्ताओं ने लेखा परीक्षा शुरू की।
सारांश
क्लाउड कोड, स्रोत लीक एक दुर्घटना थी।विशिष्ट निर्माण प्रक्रिया दुर्घटनामुझे नहीं पता। जबकि साधारण उपयोगकर्ताओं के लिए कोई प्रत्यक्ष सुरक्षा जोखिम नहीं है, निर्माण प्रक्रिया प्रबंधन के साथ एन्थ्रोपिक की समस्याएं उजागर हुई हैं।
एआई के लिए,कोड सुरक्षा महत्वपूर्ण है।मुझे नहीं पता। कोर संकेत, एपीआई डिजाइन, सुरक्षा तंत्र, यदि उजागर हो, प्रतियोगियों द्वारा इस्तेमाल किया जा सकता है, या हमलावरों द्वारा अध्ययन किया जा सकता है।
घटना ने सभी डेवलपर्स के लिए एक अलार्म मारा:व्यापार मानचित्र प्रबंधन को अनदेखा नहीं किया जा सकता है, निर्माण प्रक्रिया समीक्षा कठोर होना चाहिएमैं नहीं जानता हूँ। एआई युग में, कोड सुरक्षा मुख्य प्रतिस्पर्धा है।
बिल्डिंग सुरक्षा कोई बड़ा सौदा नहीं है, सोर्स मैप प्रबंधन को सावधानी की जरूरत है!