Claude Code Bron Leak: Anthropic onverwacht verpakt 60MB bronkaart, volledige code hersteld
Op 30 maart 2026 brak er een groot veiligheidsincident uit in AI!Anthropic AI programming tool Claude Code's npm pakket bevat onverwacht volledige bron Map bestanden (cli.js. Kaart, ongeveer 60MB), waaruit de aanvallers de hele TypeScript broncode kunnen herstellen. Dit is nog een lek van Claude Code's broncode nadat het voor het eerst werd uitgebracht in februari 2025. Hoewel het lek een clientcode van CLI is en geen modelgewichten of gebruikersgegevens bevat,Interne API ontwerp, telemetrie, encryptie tools, inter-proces communicatie protocollenDe details van de kernverwerkelijking zijn volledig blootgelegd. Dit document zal een gedetailleerde analyse geven van de technische details van het incident, de reikwijdte ervan en de aanbevelingen voor respons.
Samenvatting van de gebeurtenissen
Volgens Chaofan Shou, een intern onderzoeker bij Fuzzland, een blokketen beveiligingsbedrijf, X.Claude Code v2.1.88 bevat het volledige bron Map bestand in het npm pakket:
| Velden | Gegevens |
|---|---|
| Documentatie | Clijsmap |
| Grootte | Ongeveer 60MB (gecomprimeerd) |
| Versie | (gepubliceerd op 30 maart) |
| Vorige versie | v2.1.87 (29 maart, exclusief bronkaart) |
| Volumeverandering | Chirurgie van 17MB tot 31MB |
Het bronkaartbestandMag niet voorkomen in verpakkingen voor het vrijgeven van de productieis het nieuwste bouwongeval geïntroduceerd.
Technische details
Wat is Source Map?
Bronkaart wordt gebruikt in JavaScript-ontwikkelingKaart gecomprimeerde code terug naar originele bron. Het wordt meestal gebruikt voor:
- Ontwikkelen van debuggen: debuggen gecomprimeerde code in browser
- Fout bij volgen: het in kaart brengen van de productieomgeving naar de positie van de broncode
- Codeanalyse: begrijp de oorspronkelijke structuur van de compressiecode
Inclusief bronkaartbestand nooit in de productieomgevingomdat het de volledige broncode blootlegt.
Analyse van de openbaarmaking
De inhoud van de bronkaart terugdraaien 1.906 volledige tekst van Claude Code bestanden, die betrekking hebben op:
- Interne API-ontwerp:API call details en interface specificaties
- Telemetriesysteem: Gegevensverzameling en rapportagelogica
- Versleutelingsgereedschap: Veilig versleuteld
- Communicatieovereenkomst tussen processen: IPC-mechanisme bereikt
- Logica: AI interactief kernbericht
Andere organisator:
- Configuratie bouwen voor Package.json etc.
- Modelgewichten
- Gebruikersgegevens
- Server-peercode
Geschiedenis: Niet de eerste
Hier.Nee, Claude Code heeft eerst de broncode gelekt.:
| Tijd | Gebeurtenissen |
|---|---|
| februari 2025 | Claude Code werd ook publiekelijk besproken voor het opnemen van bronkaart toen het voor het eerst uitkwam. |
| Na februari 2025 | verloren bron Map bestand van npm pakket |
| 30 maart 2026 | v2.1.88 Onverwachte opname van bronkaart |
Terwijl de bronkaart werd verwijderd,De extractie van de broncode is niet gestopt.Ik weet het niet. Tot nu toe zijn er verschillende open magazijnen op GitHub die de gerestaureerde broncode hebben verzameld. Dit artikel maakt deel uit van onze speciale berichtgeving over Egypte 2011. Bijna duizend sterren.
Effectbeoordeling
Voor normale gebruikers
Geen direct veiligheidsrisicoIk weet het niet. Het lek is Claude Code CLI klant realisatie code, die geen model gewichten of gebruikersgegevens.
Ja, Antropisch.
- Blootstelling aan interne architectuur: volledige transparantie van de belangrijkste realisatiedetails
- Beveiligingsmechanisme blootgesteld.: Versleuteling en communicatie protocollen kunnen worden geanalyseerd
- Declinerend concurrentievoordeel: Concurrerende partijen kunnen hun technologische realisatie bestuderen
- Hint lek: AI interactieve kern logica openbaar gemaakt
Naar de ontwikkelaars gemeenschap
- Je kunt leren over de architectuur van Claude Code.
- Mogelijke creatie van open source-achtige projecten
- Controleerbare code voor beveiligingsonderzoekers
Reactie op aanbevelingen
Ja, Antropisch.
- Onmiddellijke rehabilitatieAndere organisator
- Evaluatieproces: controleer bouwprocessen om herhaling van soortgelijke incidenten te voorkomen
- Terugrollen van versie: Overweeg om de versie v2.1.88 in te trekken
- Veiligheidscontrole: Beoordeling van de veiligheidsimpact van lekcodes
- Versterking van CI/CD: Voeg bronkaartdetectie toe om proces te bouwen
Voor ontwikkelaars
- Afhankelijkheid controleren: bevestigen of v2.1.88 versies worden gebruikt
- Wachten op restauratieAndere organisator
- Beveiligingsupdate: Upgrade naar herstelde versie in de tijd
Lessen en openbaringen
Bronkaartbeheer
ProductieomgevingInclusief bronkaartbestand nooitIk weet het niet. Aanbevelingen:
- Duidelijk gescheiden in het bouwproces
- Automatisch detecteren met behulp van CI/CD gereedschap
- Instellen van pakketgrootte waarschuwing (v2.1.88 van 17MB tot 31MB, duidelijk abnormaal)
2. Herziening van het bouwproces
De gebeurtenis onthulde het bouwproces:
- v2.1.87 bevat geen bronkaart
- v2.1.88 Inclusie van ongevallen (alleen één dag)
- Beschrijving van onzekerheden in opbouwconfiguratie
3. Snelle impact Response
Nadat het incident bekend werd, reageerde de gemeenschap snel:
- X snelle verspreiding
- GitHub multi-source analyse repository
- Beveiligingsonderzoekers beginnen met auditen.
Samenvatting
Claude Code, het bronlek was een ongeluk.Typisch bouwprocesongevalIk weet het niet. Hoewel er geen direct veiligheidsrisico is voor gewone gebruikers, zijn de problemen van Antropic met het procesbeheer van de bouw blootgelegd.
Voor AI,Beveiliging is essentieel.Ik weet het niet. Core hints, API ontwerpen, veiligheidsmechanismen, indien blootgesteld, kunnen worden gebruikt door concurrenten, of kunnen worden bestudeerd door aanvallers.
Het incident sloeg een alarm voor alle ontwikkelaars:Business Map Management kan niet worden genegeerd, bouwproces herziening moet rigoureus zijnIk weet het niet. In het AI-tijdperk is codebeveiliging het belangrijkste concurrentievermogen.
Gebouwbeveiliging is geen probleem, bron Kaartbeheer moet voorzichtig zijn!