Le code source de Claude aurait été divulgué via un fichier map NPM
Selon un tweet de @Fried_rice, le code source de Claude Code semble avoir été divulgué via un fichier map dans leur registre NPM. Le tweet renvoie à une discussion sur Hacker News avec 93 points et 35 commentaires, indiquant un intérêt significatif des développeurs pour cet incident de sécurité.
L'URL du tweet original est fournie, mais le contenu de la page récupérée montre que JavaScript est désactivé ou bloqué, empêchant l'accès aux détails spécifiques de la fuite. Lorsque JavaScript est désactivé sur X.com, la plateforme affiche un message demandant aux utilisateurs d'activer JavaScript ou de passer à un navigateur pris en charge.
Ce type d'incident implique généralement des fichiers source map qui sont accidentellement inclus dans les builds de production. Les source maps sont des outils de débogage qui mappent le code minifié/compilé vers le code source original, et lorsqu'ils sont publiés sur des registres publics comme NPM, ils peuvent exposer du code propriétaire que les développeurs souhaitaient garder privé.
Pour les développeurs utilisant des agents de codage IA, cet incident souligne l'importance de bonnes pratiques de configuration de build et de déploiement. Les source maps doivent être exclues des packages de production ou publiées sur des registres privés lorsqu'ils contiennent du code sensible.
La discussion sur Hacker News contient probablement une analyse technique des fichiers spécifiques exposés, de l'étendue de la fuite et des implications potentielles pour la sécurité des utilisateurs de Claude Code. Les développeurs intéressés par les détails techniques devraient consulter le fil HN pour l'analyse et la discussion de la communauté.
📖 Read the full source: HN AI Agents
👀 See Also
Plugin de sécurité Claude Code : Intégrer la sécurité applicative dans le flux de travail du développeur
Anthropic a lancé un plugin de conseils de sécurité pour Claude Code qui identifie et corrige les vulnérabilités pendant le codage. Disponible pour tous les utilisateurs via la place de marché des plugins, pas seulement Enterprise. Discussion pour savoir s'il devient un assistant léger, une couche sérieuse d'AppSec ou un pont vers Claude Security.
Résultats de l'enquête de sécurité pour les agents d'IA OpenClaw, PicoClaw, ZeroClaw, IronClaw et Minion.
Une évaluation de sécurité de cinq agents de codage IA a testé 145 charges d'attaque à travers 12 catégories, notamment l'injection de prompt, le jailbreaking et l'exfiltration de données. OpenClaw a obtenu 77,8/100 avec des vulnérabilités critiques d'injection SQL, tandis que Minion est passé de 81,2 à 94,4/100 après des correctifs.
Correction architecturale pour la sur-centralisation des agents IA : séparation de la mémoire, de l'exécution et des actions sortantes
Un développeur a réalisé que son assistant IA devenait un 'autocrate interne' en gérant la mémoire à long terme, l'accès aux outils et les décisions autonomes dans un seul composant. La solution a consisté à séparer le système en trois rôles : contrôleur privé, travailleurs à portée limitée et porte de sortie.
L'IA brise les deux cultures de vulnérabilité : divulgation coordonnée contre "les bogues sont des bogues" de Linux
Jeff Kaufman analyse comment la découverte de vulnérabilités par l'IA fracture à la fois la divulgation coordonnée et la culture des correctifs discrets de Linux, en utilisant la récente vulnérabilité Copy Fail (ESP) comme étude de cas.