Ściek źródła Claude Code: niespodziewanie zapakowany antropowy 60MB Source Map, pełny kod przywrócony
30 marca 2026 roku doszło do poważnego incydentu w AI!Antropiczne narzędzie programowania AI Claude Code pakiet npm niespodziewanie zawiera pełne pliki źródłowe Map (cli.js. Mapa, około 60MB), z którego atakujący mogą przywrócić cały kod źródłowy TypeScript. To kolejny przeciek kodu źródłowego Claude 'a Code' a po jego pierwszym wydaniu w lutym 2025. Mimo że przeciek jest kodem CLI klienta i nie obejmuje wagi modelu ani danych użytkownika,Wewnętrzny projekt API, telemetria, narzędzia szyfrujące, protokoły komunikacji międzyprocesowejSzczegóły realizacji są całkowicie odsłonięte. Dokument ten dostarczy szczegółowej analizy szczegółów technicznych incydentu, jego zakresu i zaleceń dotyczących odpowiedzi.
Podsumowanie zdarzeń
Według Chaofana Shou, badacza stażysty w Fuzzland, firmy ochroniarskiej, X.Claude Code v2.1.88 zawiera pełny plik źródłowy Map w pakiecie npm:
| Pola | Szczegóły |
|---|---|
| Dokumentacja | Cli.js.map |
| Rozmiar | Około 60MB (skompresowane) |
| Wersja | v2.1.88 (opublikowana 30 marca) |
| Poprzednia wersja | v2.1.87 (29 marca, z wyłączeniem mapy źródła) |
| Zmiana wolumenu | Przeskok od 17MB do 31MB |
Plik mapy źródłowejNie powinno pojawiać się w opakowaniach do wydania produkcjijest to ostatni wypadek budowlany wprowadzony.
Szczegóły techniczne
Co to jest mapa źródła?
Mapa źródłowa jest używana w rozwoju JavaScriptMapa skompresowany kod do oryginalnego źródła. Jest zwykle stosowany do:
- Opracowanie debugowania: debugowanie skompresowanego kodu w przeglądarce
- Śledzenie błędów: odwzorowanie środowiska produkcji na pozycję kodu źródłowego
- Analiza kodu: zrozumieć oryginalną strukturę kodu kompresji
Nigdy nie umieszczaj pliku źródłowego Map w środowisku produkcjiponieważ ujawnia pełny kod źródłowy.
Analiza ujawniania informacji
Odwróć zawartość mapy źródłowej 1 906 pełny tekst plików Claude Code, obejmujące:
- Wewnętrzny projekt API: Szczegóły połączeń API i specyfikacje interfejsu
- System telemetrii: Gromadzenie danych i logika sprawozdawczości
- Narzędzie szyfrowania: Bezpieczne szyfrowanie
- Umowa w sprawie komunikacji międzyprocesowej: Mechanizm IPC osiągnięty
- Szybka logika: Interaktywna wiadomość rdzeniowa AI
Inny organizator:
- Zbuduj konfigurację dla Package.json itp.
- Wagi modelu
- Dane użytkownika
- Kod partnera serwera
Historia: Nie pierwszy
Masz.Nie, Claude Code pierwszy ujawnił kod źródłowy.:
| Czas | Wydarzenia |
|---|---|
| Luty 2025 | Claude Code został również publicznie omówiony w celu uwzględnienia mapy źródłowej, kiedy po raz pierwszy wyszedł. |
| Po lutym 2025 r. | utracony plik Map źródłowy z pakietu npm |
| 30 marca 2026 | v2.1.88 Nieoczekiwane włączenie mapy źródła |
Podczas gdy mapa źródła została usunięta,Ekstrakcja kodu źródłowego nie ustaje.Nie wiem. Jak dotąd na GitHub jest kilka otwartych magazynów, które połączyły przywrócony kod źródłowy. Ten post jest częścią relacji specjalnych Egipt 2011. Prawie tysiąc gwiazd.
Ocena wpływu
Dla zwykłych użytkowników
Brak bezpośredniego ryzyka bezpieczeństwaNie wiem. Nieszczelność jest Claude Code CLI kod realizacji klienta, który nie obejmuje wagi modelu lub danych użytkownika.
Tak, antropik.
- Wewnętrzne narażenie na działanie architektury: pełna przejrzystość podstawowych szczegółów realizacji
- Mechanizm bezpieczeństwa odsłonięty.: Można analizować protokoły szyfrowania i komunikacji
- Obniżenie przewagi konkurencyjnej: Partie konkursowe mogą studiować swoją realizację technologiczną
- Wyciek podpowiedzi: Interaktywna logika AI
Do społeczności deweloperów
- Możesz się dowiedzieć o architekturze Claude Code.
- Możliwe tworzenie projektów typu open source- like
- Kod audytowy dla naukowców ds. bezpieczeństwa
Odpowiedź na zalecenia
Tak, antropik.
- Natychmiastowa rehabilitacjaInny organizator
- Proces przeglądu: sprawdzanie procesów budowania, aby zapobiec podobnych incydentów z powtarzających się
- Wersja Rollback: Rozważ wycofanie wersji v2.1.88
- Kontrola bezpieczeństwa: Ocena wpływu kodów szczelności na bezpieczeństwo
- Wzmocnienie CI / CD: Dodaj wykrywanie map źródłowych do procesu budowania
Dla programistów
- Sprawdzanie zależności: potwierdzenie, czy używane są wersje v2.1.88
- Oczekiwanie na przywrócenieInny organizator
- Aktualizacja bezpieczeństwa: Upgrade do przywróconej wersji w czasie
Lekcje i objawienia
Zarządzanie mapą źródeł
Środowisko produkcyjneNigdy nie włączaj pliku źródłowego MapNie wiem. Zalecenia:
- Wyraźnie oddzielone w procesie budowania
- Automatyczne wykrywanie przy użyciu narzędzia CI / CD
- Ustaw alarm wielkości pakietu (v2.1.88 od 17MB do 31MB, oczywiście nieprawidłowy)
2. Przegląd procesu budowy
Zdarzenie ujawniło proces budowy:
- v2.1.87 nie zawiera mapy źródłowej
- v2.1.88 Uwzględnienie wypadków (tylko jeden dzień)
- Opis niepewności w konfiguracji budynku
3. Szybka reakcja na uderzenia
Po tym incydencie, społeczność zareagowała szybko:
- X szybkie rozpowszechnianie
- Repozytorium analizy wieloźródłowej GitHub
- Badacze bezpieczeństwa rozpoczynają audyt.
Streszczenie
Claude Code, wyciek źródła był wypadkiem.Typowy wypadek przy procesie budowyNie wiem. Mimo że nie ma bezpośredniego zagrożenia bezpieczeństwa dla zwykłych użytkowników, problemy antropologiczne związane z zarządzaniem procesem budowy zostały ujawnione.
Dla AI,Bezpieczeństwo kodu jest niezbędne.Nie wiem. Podstawowe wskazówki, API projekty, mechanizmy bezpieczeństwa, jeśli narażone, mogą być wykorzystywane przez konkurentów, lub mogą być badane przez napastników.
Incydent wywołał alarm dla wszystkich programistów:Zarządzanie mapą biznesową nie może być ignorowane, przegląd procesu budowlanego musi być rygorystycznyNie wiem. W erze ptasiej grypy bezpieczeństwo kodowe jest główną konkurencyjnością.
Ochrona budynku to nic wielkiego, źródło Zarządzanie Mapą wymaga ostrożności!