Claude Code-Quellcode angeblich über NPM-Map-Datei geleakt
Laut einem Tweet von @Fried_rice scheint der Quellcode für Claude Code über eine Map-Datei in ihrem NPM-Register geleakt worden zu sein. Der Tweet verlinkt auf eine Hacker News-Diskussion mit 93 Punkten und 35 Kommentaren, was auf ein erhebliches Entwicklerinteresse an diesem Sicherheitsvorfall hindeutet.
Die ursprüngliche Tweet-URL wird bereitgestellt, aber der abgerufene Seiteninhalt zeigt, dass JavaScript deaktiviert oder blockiert ist, was den Zugriff auf die spezifischen Details des Lecks verhindert. Wenn JavaScript auf X.com deaktiviert ist, zeigt die Plattform eine Meldung an, in der Benutzer aufgefordert werden, JavaScript zu aktivieren oder zu einem unterstützten Browser zu wechseln.
Diese Art von Vorfall betrifft typischerweise Source-Map-Dateien, die versehentlich in Produktions-Builds enthalten sind. Source Maps sind Debugging-Tools, die minifizierten/kompilierten Code auf den ursprünglichen Quellcode zurückführen, und wenn sie in öffentlichen Registern wie NPM veröffentlicht werden, können sie proprietären Code offenlegen, den Entwickler privat halten wollten.
Für Entwickler, die KI-Coding-Agenten verwenden, unterstreicht dieser Vorfall die Bedeutung einer korrekten Build-Konfiguration und Bereitstellungspraktiken. Source Maps sollten von Produktionspaketen ausgeschlossen oder in private Register veröffentlicht werden, wenn sie sensiblen Code enthalten.
Die Hacker News-Diskussion enthält wahrscheinlich eine technische Analyse der offengelegten Dateien, des Ausmaßes des Lecks und der potenziellen Sicherheitsauswirkungen für Claude Code-Benutzer. Entwickler, die an den technischen Details interessiert sind, sollten den HN-Thread für Community-Analysen und Diskussionen überprüfen.
📖 Read the full source: HN AI Agents
👀 Siehe auch
ClawGuard: Eine standardmäßig verweigernde Firewall für lokale KI-Agenten
ClawGuard fängt jeden Tool-Aufruf von OpenClaw/Hermes-Agenten ab und wendet eine Default-Deny-Richtlinie an, um gefährliche Operationen wie das Lesen von .env oder rm -rf zu blockieren und bei mehrdeutigen Aktionen eine Freigabe per Telefon zu erfordern.
AppLovin Mediation Cipher geknackt: Geräte-Fingerprinting umgeht ATT
Durch Reverse-Engineering wurde aufgedeckt, dass AppLovins benutzerdefinierte Chiffre ein konstantes Salt + SDK-Key, einen SplitMix64-PRNG und keine Authentifizierung verwendet. Entschlüsselte Anfragen übertragen selbst dann etwa 50 Gerätefelder (Hardwaremodell, Bildschirmgröße, Gebietsschema, Startzeit usw.), wenn die App-Tracking-Transparenz (ATT) verweigert wurde, und ermöglichen so eine deterministische Wiedererkennung über mehrere Apps hinweg.
Bösartiges PyTorch Lightning-Paket stiehlt Anmeldedaten und infiziert npm-Pakete
Das PyPI-Paket 'lightning' in den Versionen 2.6.2 und 2.6.3 enthält Malware im Shai-Hulud-Stil, die Anmeldedaten, Token und Cloud-Geheimnisse stiehlt und über injizierte JavaScript-Payloads auf npm-Pakete übergreift.
FakeKey: Rust-basiertes API-Schlüssel-Sicherheitstool, das echte Schlüssel durch gefälschte ersetzt
FakeKey ist ein Rust-basiertes Sicherheitstool, das echte API-Schlüssel in Anwendungsumgebungen durch gefälschte ersetzt. Echte Schlüssel werden verschlüsselt im nativen Schlüsselbund des Systems gespeichert und nur während HTTP/S-Anfragen eingespritzt.