Si Anthropic Ekspozoi Aksidentalisht 512,000 Rreshta të Kodit të Saj më të Vlefshëm Burimor — dhe Çfarë Mund të Mësojë Çdo Organizatë

Në orën 4:23 të mëngjesit të Kohës Lindore, më 31 Mars 2026, një praktikant në Solayer Labs postoi një zbulim në X që do të përcaktonte një nga incidentet më me pasoja të pronësisë intelektuale në historinë e shkurtër të industrisë komerciale AI. Një paketë npm e disponueshme publikisht — @anthropic-ai/claude-code versioni 2.1.88 — përmbante diçka që nuk duhej të ishte kurrë aty: një skedar hartë burimi JavaScript prej 59.8 MB që përmbuste kodin e plotë TypeScript të paobfuskuar të Claude Code, agjentit AI të kodimit të bazuar në terminal të Anthropic.

#

Çfarë u Ekspozua

Claude Code nuk është vetë modeli bazë AI. Ajo që u ekspozua ishte arkitektura softuerike që mbështjell atë inteligjencë dhe e bën të dobishme komerciale: logjika e orkestrimit, sistemet e lejeve dhe ekzekutimit, mekanizmat e konsolidimit të memorjes, flamujt e brendshëm të veçorive dhe harta rrugore e produktit e ngulitur në komentet e kodit.

Skedari i rrjedhur përmbante rreth 513,000 rreshta TypeScript të paobfuskuar nëpër 1,906 skedarë. Ndër zbulimet e tij më të rëndësishme ishin emrat e kodit të brendshëm për modelet e palëshura — Capybara dhe Fennec — së bashku me matjet e performancës, kufizimet e inxhinierisë dhe arkitekturën e një mënyre agjenti të pavarur të sfondit të referuar brendësisht si KAIROS.

#

Çfarë Shkoi Keq

Deklarata e vetë Anthropic ishte e paqartë: ky ishte një gabim i paketimit të lëshimit i shkaktuar nga gabimi njerëzor, jo një shkelje sigurie në kuptimin konvencional. Asnjë sulmues nuk depërtoi në sistemet e Anthropic. Asnjë dobësi nuk u shfrytëzua. Një skedar hartë burimi — një mjet i destinuar për të ndihmuar debugimin e brendshëm — u përfshi gabimisht në një lëshim pakete publike npm.

Çështja më e thellë është e qeverisjes së procesit. Një skedar prej gati 60 MB që përmban 500,000 rreshta kod burimor të pronarit u përfshi në një lëshim publik pa aktivizuar asnjë kontroll automatik ose manual që identifikonte praninë e tij para botimit.

#

Rreziku Pasues

Me dukshmëri të plotë të kodit burimor, aktorët e kërcënimit mund të identifikojnë dhe armatisin dobësitë ekzistuese me një precizion që më parë nuk ishte i disponueshëm për ta. Dy CVE — CVE-2025-59536 dhe CVE-2026-21852 — duke mbuluar shtigjet e ekzekutimit të kodit në distancë dhe ekfiltriimit të çelësit API, u identifikuan në bazën e kodit të ekspozuar.

#

Çfarë Duhet të Mësojnë Organizatat

Rrjedhja e Claude Code është instruktive jo sepse Anthropic është organizatë jashtëzakonisht e pakujdesshme, por sepse demonstron se si një boshllëk i vetëm procesi në një funksion operacional rutinë mund të prodhojë pasoja me një shkallë dhe qëndrueshmëri që asnjë përgjigje pas incidentit nuk mund ta adresojë plotësisht.

---
Ky artikull do të përditësohet ndërsa dalin informacione të reja. Përditësimi i fundit: Prill 2026.