Claude Code Source Leak: Antropic uventet pakket 60MB Kildekart, full kode gjenopprettet
30. mars 2026 brøt det ut en stor sikkerhetsulykke i AI!Antropic AI programmering verktøyet Claude Code npm pakken uventet inneholder full kilde Kart filer (cli.js. Kart, ca 60 MB), der angriperne kan gjenopprette hele TypeScript-kildekoden. Dette er en annen lekkasje av Claude Codes kildekode etter at den ble utgitt i februar 2025. Selv om lekken er en CLI klientkode og ikke involverer modellvekter eller brukerdata,Intern API design, telemetri, krypteringsverktøy, inter-prosess kommunikasjonsprotokollerDetaljer om kjernen realisering er fullstendig eksponert. Denne artikkelen vil gi en detaljert analyse av de tekniske detaljene i hendelsen, dets omfang og anbefalinger for respons.
Sammendrag av hendelser
Ifølge Chaofan Shu, en internforsker ved Fuzzland, et blokkkjedesikkerhetsselskap X.Claude Code v2.1.88 inneholder den fulle kilde Map-filen i npm pakken:)
| Felter | Detaljer |
|---|---|
| Dokumentasjon | Cli.js.map |
| Størrelse | Ca. 60 MB (komprimert) |
| Utgave | v2.1.88 (publisert 30. mars) |
| Forrige versjon | v2.1.87 (29. mars, ekskludert kildekart) |
| Volumendring | Bygg fra 17MB til 31MB |
KildekartfilenBør ikke vises i produksjonspakkerDet siste byggulykken som ble innført.
Tekniske detaljer
Hva er kildekart?
Kildekart brukes i JavaScript-utviklingKart komprimert kode tilbake til opprinnelig kildeDen brukes vanligvis til:
- Utvikle feilsøking: debug komprimert kode i nettleser
- Feilsporing: kartlegg produksjonsmiljøet til kildekodeposisjonen
- Kodeanalyse: forstå den opprinnelige strukturen av kompresjonskoden
Ta aldri med kildekartfil i produksjonsmiljøetDet avslører hele kildekoden.
Avslutningsanalyse
Tilbakestill kildekartinnholdet 1.906 fulltekst på Claude Code-filer, dekke:
- Intern API Design:API ringe detaljer og grensesnitt spesifikasjoner
- Telemetrisystem: Datainnsamling og rapporteringslogikk
- Krypteringsverktøy: Sikker kryptert
- Interprosesskommunikasjonsavtale: IPC-mekanisme oppnådd
- Spør Logic: AI interaktiv kjerne melding
Andre arrangører:)
- Bygg konfigurasjon for Package.json etc.
- Modellvekter
- Brukerdata
- Server peer kode
Historie: Ikke den første
Her.Claude Code lekket først kildekoden.:)
| Tid | Events |
|---|---|
| februar 2025 | Claude Code ble også offentlig diskutert for å inkludere kildekart når det først kom ut. |
| Etter februar 2025 | Mistet kilde Kartfil fra npm pakke |
| 30. mars 2026 | v2.1.88 Uventet inkludering av kildekart |
Mens kildekartet ble fjernet,Utvinningen av kildekoden har ikke stoppet.Jeg vet ikke. Så langt er det flere åpne lager på GitHub som har samlet den restaurerte kildekoden. Denne artikkelen er en del av vår spesialdekning Egypt 2011. Få nesten tusen stjerner.
Konsekvensvurdering
For vanlige brukere
Ingen direkte sikkerhetsrisikoJeg vet ikke. Lekkasjen er Claude Code CLI klient realisering kode, som ikke involverer modell vekter eller brukerdata.
Ja, Antropic.
- Intern arkitektur eksponeringFull åpenhet i kjernen realisering detaljer
- Sikkerhetsmekanisme eksponert.: Krypterings- og kommunikasjonsprotokoller kan analyseres
- å redusere konkurransefordeleneKonkurranse kan studere deres teknologiske realisering
- Hint lekkasje: AI interaktiv kjernelogikk gjort offentlig
For utviklernes samfunn
- Du kan lære om Claude Codes arkitektur.
- Mulig opprettelse av open source-lignende prosjekter
- Sjekkbar kode for sikkerhetsforskere
Svar på anbefalinger
Ja, Antropic.
- Umiddelbar rehabiliteringAndre arrangører
- GjennomgangsprosessenSjekk byggeprosesser for å hindre lignende hendelser i å gjenta
- Versjon Rollback: Overvei å trekke v2.1.88-versjonen
- SikkerhetsrevisjonVurdering av sikkerhetspåvirkningen av lekkasjekoder
- Styrke CI/CD: Legg til kildekartdeteksjon for å bygge prosessen
For utviklere
- Sjekk avhengighet: bekrefte om v2.1.88 versjoner brukes
- Venter på restaureringAndre arrangører
- Sikkerhetsoppdatering: Oppgrader til restaurert versjon i tide
Lærdommer og åpenbaringer
Source Map Management
ProduksjonsmiljøInkluder aldri kildekartfilJeg vet ikke. Anbefalinger:
- Åpenbar i byggeprosessen
- Automatisk påvisning ved hjelp av CI/CD-verktøy
- Sett opp pakkestørrelsesvarsel (v2.1.88 fra 17MB til 31 MB, åpenbart unormal)
2. Byggeprosess gjennomgang
Eventen eksponerte byggeprosessen:
- v2.1.87 inneholder ikke kildekart
- v2.1.88 Inkludering av ulykker (kun én dag)
- Beskrivelse av usikkerheter i byggekonfigurasjon
3. Rask effektrespons
Etter at hendelsen ble kjent, reagerte samfunnet raskt:
- X hurtig formidling
- GitHub flerkilde analysearkiv
- Sikkerhetsforskere begynner å revidere.
Sammendrag
Claude Code var en ulykke.Typisk byggeprosessulykkeJeg vet ikke. Selv om det ikke er noen direkte sikkerhetsrisiko for vanlige brukere, har Anthropics problemer med byggeprosesshåndtering blitt utsatt.
For AI,Kodesikkerhet er viktig.Jeg vet ikke. Kjerne hint, API-design, sikkerhetsmekanismer, hvis eksponert, kan brukes av konkurrenter, eller kan studeres av angripere.
Hendelsen traff en alarm for alle utviklere:Business Map ledelse kan ikke ignoreres, byggeprosess gjennomgang må være strengJeg vet ikke. I AI-tiden er kodesikkerhet sentral konkurranseevne.
Bygging av sikkerhet er ingen stor sak, kilde kart ledelse trenger forsiktighet!