Claude Code Source Leak: Anthropic inesperadamente embalado 60MB Source Map, código completo restaurado
Em 30 de março de 2026, um grande incidente de segurança ocorreu na IA!Ferramenta de programação de IA antrópica O pacote npm do Claude Code contém inesperadamente arquivos completos do mapa (cli.js. Mapa, cerca de 60MB), a partir do qual os atacantes podem restaurar todo o código fonte TypeScript. Este é outro vazamento do código fonte de Claude Code depois que foi lançado pela primeira vez em fevereiro de 2025. Embora o vazamento seja um código cliente CLI e não envolva pesos de modelo ou dados do usuário,Design de API interna, telemetria, ferramentas de criptografia, protocolos de comunicação interprocessoOs detalhes da realização do núcleo estão completamente expostos. Este documento fornecerá uma análise detalhada dos detalhes técnicos do incidente, seu escopo e recomendações de resposta.
Resumo dos acontecimentos
De acordo com Chaofan Shou, um pesquisador interno da Fuzzland, uma empresa de segurança da cadeia de blocos, X.Claude Code v2.1.88 contém o arquivo de mapa de origem completo no pacote npm:
| Campos | Detalhes |
|---|---|
| Documentação | Cli.js.map |
| Tamanho | Cerca de 60MB (comprimido) |
| Versão | (publicado em 30 de Março) |
| Versão anterior | v2.1.87 (29 de Março, excluindo o mapa de origem) |
| Variação do volume | Surge de 17MB a 31MB |
O arquivo de mapa de origemNão deve aparecer nos pacotes de lançamento de produçãoé o último acidente de construção introduzido.
Detalhes técnicos
O que é o mapa fonte?
Mapa fonte é usado no desenvolvimento de JavaScriptMapa do código comprimido de volta à origem original. Geralmente é usado para:
- Desenvolver depuração: depuração de código comprimido no navegador
- Rastreamento de erros: mapeando o ambiente de produção para a posição do código fonte
- Análise de código: compreender a estrutura original do código de compressão
Nunca inclua o arquivo de mapa de origem no ambiente de produçãoporque expõe o código fonte completo.
Análise da divulgação
Reverter o conteúdo do mapa de origem 1.906 texto completo dos arquivos Claude Code, abrangendo:
- Desenho interno da API:Detalhes de chamada API e especificações de interface
- Sistema de telemetria: Coleta de dados e lógica de relatórios
- Ferramenta de criptografia: Seguro criptografado
- Acordo de comunicação interprocessos: Mecanismo IPC alcançado
- Pedir Lógica: Mensagem principal interativa IA
Outro Organizador:
- Configuração de compilação para Package.json etc.
- Pesos-modelo
- Dados do Utilizador
- Código do servidor
História: Não o primeiro
Toma.Não, Claude Code primeiro vazou o código fonte.:
| Hora | Eventos |
|---|---|
| Fevereiro de 2025 | Claude Code também foi discutido publicamente para incluir o mapa fonte quando ele saiu pela primeira vez. |
| Após Fevereiro de 2025 | arquivo de mapa de origem perdido do pacote npm |
| 30 de março de 2026 | v2.1.88 Inclusão inesperada do mapa fonte |
Enquanto o mapa de origem foi removido,A extração do código fonte não parou.Não sei. Até agora, existem vários armazéns abertos no GitHub que colidiram o código fonte restaurado. Este post faz parte da nossa cobertura especial Egito 2011. A receber quase mil estrelas.
Avaliação do impacto
Para utilizadores normais
Sem risco directo de segurançaNão sei. O vazamento é Claude Code CLI código de realização do cliente, que não envolve pesos de modelo ou dados do usuário.
Sim, Antrópico.
- Exposição interna à arquitectura: total transparência dos principais detalhes de realização
- Mecanismo de segurança exposto.: Os protocolos de criptografia e comunicação podem ser analisados
- Reduzir a vantagem competitiva: As partes concorrentes podem estudar a sua realização tecnológica
- Fuga de dica: AI interactive core logica tornada pública
À comunidade de desenvolvedores
- Você pode aprender sobre a arquitetura de Claude Code.
- Possível criação de projetos de código aberto
- Código auditável para pesquisadores de segurança
Resposta às recomendações
Sim, Antrópico.
- Reabilitação imediataOutro Organizador
- Processo de revisão: verificar processos de compilação para evitar incidentes similares de recorrentes
- Versão Retrocesso: Considere retirar versão v2.1.88
- Auditoria de segurança: Avaliação do impacto da segurança dos códigos de fuga
- Reforço da IC/CD: Adicionar fonte Detecção de mapas para o processo de compilação
Para Desenvolvedores
- Verificar Dependência: confirmar se as versões v2.1.88 são utilizadas
- À espera da restauraçãoOutro Organizador
- Actualização de segurança: Atualização para a versão restaurada no tempo
Lições e revelações
Gestão do Mapa de Origem
Ambiente de produçãoNunca inclua o arquivo de origem do mapaNão sei. Recomendações:
- Claramente separado no processo de compilação
- Auto- Detect Usando a Ferramenta CI/CD
- Configurar alerta de tamanho de pacote (v2.1.88 de 17MB a 31MB, obviamente anormal)
2. Revisão do processo de construção
O evento expôs o processo de construção:
- v2.1.87 não contém Mapa de origem
- v2.1.88 Inclusão de acidentes (apenas um dia)
- Descrição das incertezas na configuração da compilação
3. Resposta de impacto rápido
Depois que o incidente se tornou conhecido, a comunidade reagiu rapidamente:
- X disseminação rápida
- repositório de análise multi-fontes do GitHub
- Pesquisadores de segurança começam a auditoria.
Resumo
Claude Code, a fuga da fonte foi um acidente.Acidente típico do processo de construçãoNão sei. Embora não haja risco direto de segurança para usuários comuns, os problemas do Anthropic com o gerenciamento de processos de construção foram expostos.
Por AI,A segurança do código é vital.Não sei. Dicas principais, projetos de API, mecanismos de segurança, se expostos, podem ser usados por concorrentes, ou podem ser estudados por atacantes.
O incidente disparou um alarme para todos os desenvolvedores:Gestão de mapas de negócios não pode ser ignorado, revisão do processo de construção deve ser rigorosaNão sei. Na era IA, a segurança do código é a principal competitividade.
Segurança de construção não é grande coisa, fonte Gerenciamento de mapas precisa de cuidado!