Claude Code Source Leak: Antropisk oväntat packad 60 MB källkarta, full kod återställd

Den 30 mars 2026 bröt en stor säkerhetsincident ut i AI!Antropisk AI-programmeringsverktyg Claude Codes npm-paket innehåller oväntat fullständiga källkodsfiler (cli.js. Karta, ca 60 MB)från vilken angriparna kan återställa hela TypeScript-källkoden. Detta är en annan läcka av Claude Codes källkod efter att den först släpptes i februari 2025. Även om läckan är en CLI-klientkod och inte involverar modellvikter eller användardata,Intern API-design, telemetri, krypteringsverktyg, interprocesskommunikationsprotokollDetaljerna för kärninsikten är helt exponerade. Detta papper kommer att ge en detaljerad analys av de tekniska detaljerna i händelsen, dess omfattning och rekommendationer för svar.

Sammanfattning av händelser

Enligt Chaofan Shou, en intern forskare på Fuzzland, ett blockkedja säkerhetsföretag, X.Claude Code v2.1.88 innehåller hela källkartan i npm-paketetFrån:

Fält	Detaljer
Dokumentation	Cli.js.map
storlek	Om 60 MB (komprimerad)
Version	v2.1.88 (publicerad den 30 mars)
Föregående version	v2.1.87 (29 mars, exklusive källkarta)
Volymförändring	Överspänning från 17 MB till 31 MB

Källa Map FilBör inte visas i produktionsreleasepaketär den senaste byggolyckan som införts.

Tekniska detaljer

Vad är Source Map?

Källa Karta används i JavaScript utvecklingKarta komprimerad kod tillbaka till originalkällaDet används vanligtvis för:

• Utveckla felsökning: debugging komprimerad kod i webbläsaren
• Felspårning: kartläggning av produktionsmiljön till källkodspositionen
• Kodanalys: förstå komprimeringskodens ursprungliga struktur

Aldrig inkludera källkarta i produktionsmiljöneftersom det avslöjar hela källkoden.

Disclosure analys

Revertera källkartan innehåll 1 906 fulltext av Claude Code-filertäckning:

• Intern API Design:API samtal detaljer och gränssnitt specifikationer
• TelemetrisystemDatainsamling och rapportering av logik
• KrypteringsverktygSäker krypterad
• Inter-process kommunikationsavtalIPC-mekanism uppnådd
• Snabb logikAI interaktivt kärnmeddelande

Övrig organisatörFrån:

• Bygg konfiguration för Package.json etc.
• Modellvikter
• Användardata
• Server peer code

Historia: Inte den första

Här.Nej, Claude Code läckte först källkoden.Från:

Tid	Händelser
februari 2025	Claude Code diskuterades också offentligt för att inkludera källkartan när den först kom ut.
Efter februari 2025	förlorad källkarta fil från npm paket
30 mars 2026	v2.1.88 Oväntat införande av källkartan

Medan källkartan togs bort,Utvinningen av källkoden har inte stoppats.Jag vet inte. Hittills finns det flera öppna lager på GitHub som har samlat den restaurerade källkoden. Detta inlägg är en del av vår specialtäckning Egypten 2011. Att få nästan tusen stjärnor.

Impact assessment

För normala användare

Ingen direkt säkerhetsriskJag vet inte. Läckan är Claude Code CLI-kundens insiktskod, som inte involverar modellvikter eller användardata.

Ja, Anthropic.

• Intern arkitekturexponeringFull transparens av kärnförverkligande detaljer
• Säkerhetsmekanismen avslöjas.Kryptering och kommunikationsprotokoll kan analyseras
• minska konkurrensfördelenKonkurrerande parter kan studera sin tekniska insikt
• Hint LeakAI interaktiv kärnlogik offentliggjord

Till utvecklarna gemenskap

• Du kan lära dig om Claude Codes arkitektur.
• Möjligt skapande av öppna källliknande projekt
• Auditerbar kod för säkerhetsforskare

Svar på rekommendationer

Ja, Anthropic.

• Omedelbar rehabiliteringÖvrig organisatör
• Granska processenKontrollera byggprocesser för att förhindra att liknande incidenter återkommer
• Version RollbackÖverväg att dra tillbaka v2.1.88 version
• SäkerhetsrevisionBedömning av säkerhetseffekten av läckkoder
• Stärka CI / CDLägg till källkartan upptäckt för att bygga process

För utvecklare

• Kolla beroendebekräfta om v2.1.88-versioner används
• Väntar på restaureringÖvrig organisatör
• SäkerhetsuppdateringUppgradera till återställd version i tid

Lektioner och uppenbarelser

Källa Map Management

ProduktionsmiljöAldrig inkludera källkarta filJag vet inte. Rekommendationer:

• Klart separerad i byggprocessen
• Auto-Detect Använda CI / CD-verktyg
• Ställ in paketstorleksvarning (v2.1.88 från 17 MB till 31 MB, uppenbarligen onormal)

2. Översyn av byggprocessen

Evenemanget avslöjade byggprocessen:

• v2.1.87 innehåller inte källkarta
• v2.1.88 Olycka (endast en dag)
• Beskrivning av osäkerheter i byggkonfiguration

Snabb inverkan Response

Efter händelsen blev känd reagerade samhället snabbt:

• X snabb spridning
• GitHub multi-source analys repository
• Säkerhetsforskare börjar granska.

Sammanfattning

Claude Code, källläcka var en olycka.Typisk byggprocessolyckaJag vet inte. Även om det inte finns någon direkt säkerhetsrisk för vanliga användare, har antropiska problem med byggprocesshantering exponerats.

För AI,Kodsäkerhet är avgörande.Jag vet inte. Kärnpunkter, API-designer, säkerhetsmekanismer, om de exponeras, kan användas av konkurrenter eller kan studeras av angripare.

Händelsen slog ett larm för alla utvecklare:Business Map management kan inte ignoreras, byggprocess granskning måste vara noggrannJag vet inte. I AI-eran är kodsäkerhet kärn konkurrenskraft.

Byggnadssäkerhet är ingen stor sak, källkarthantering behöver försiktighet!