Anthropic hat versehentlich weitreichende Einblicke in die Architektur seines KI-Coding-Agents Claude Code offengelegt und gerät nun wegen der Aufräumarbeiten zusätzlich unter Druck. Für Unternehmen, die auf solche Entwicklungswerkzeuge setzen, stellt der Vorfall grundlegende Sicherheits- und Compliance-Fragen.
Wie es zum Leak von 512.000 Codezeilen kam
Am 31. März lieferte Anthropic in der Version 2.1.88 des npm-Pakets @anthropic-ai/claude-code versehentlich eine 59,8-MB-Source-Map-Datei mit. Darin befanden sich rund 512.000 Zeilen nicht verschleierter TypeScript-Code in 1.906 Dateien. Der lesbare Quellcode umfasst das vollständige Berechtigungsmodell, sämtliche Bash-Sicherheitsprüfungen, 44 noch unveröffentlichte Feature-Flags und Verweise auf kommende Modelle. Ein Sicherheitsforscher machte den Fund auf X öffentlich, kurz darauf tauchten Spiegel-Repositorys auf GitHub auf.
Anthropic sprach von einem Verpackungsfehler durch menschliches Versagen und betonte, dass weder Kund:innendaten noch Modellgewichte betroffen seien. Die Eindämmung des Leaks scheiterte jedoch schnell, da sich Kopien des Codes rasch verbreiteten. Parallel dazu wurden wenige Stunden zuvor manipulierte Versionen des npm-Pakets axios mit einer Fernzugriffs-Schadsoftware veröffentlicht. Teams, die Claude Code zwischen 00:21 und 03:29 UTC über npm installierten oder aktualisierten, konnten so sowohl den offengelegten Quellcode als auch die axios-Malware beziehen.
Architektur des Agenten und neue Angriffswege
Der geleakte Code zeigt nicht einfach eine Chat-Oberfläche, sondern das agentische Gerüst rund um das Sprachmodell. Dieses verleiht Claude die Fähigkeit, Werkzeuge zu nutzen, Dateien zu verwalten, Bash-Befehle auszuführen und Arbeitsabläufe mit mehreren Agenten zu orchestrieren. Berichten zufolge können Wettbewerber:innen und Start-ups damit Funktionen von Claude Code nachbauen, ohne sie mühsam rückentwickeln zu müssen.
Ein zentrales Element ist eine etwa 46.000 Zeilen umfassende Abfrage-Engine, die den Kontext über eine dreistufige Kompression verwaltet und mehr als 40 Werkzeuge mit eigenen Schemata und feingranularen Berechtigungen steuert. Rund 2.500 Zeilen Bash-Sicherheitslogik führen 23 aufeinanderfolgende Prüfungen für Shell-Befehle aus, etwa zu blockierten Zsh-Built-ins, Unicode-Zero-Width-Space-Injektionen, IFS-Null-Byte-Injektionen und einem Token-Bypass, der in einem HackerOne-Review entdeckt wurde.
Analysen heben drei nun praktisch ausnutzbare Angriffspfade hervor: Kontextvergiftung über die Komprimierungskette, Umgehung der Sandbox durch Unterschiede in der Shell-Parsing-Logik und eine Kombination beider Ansätze. Dabei wird nicht das Modell selbst angegriffen, sondern der Kontext der Interaktion manipuliert, sodass scheinbar legitime Befehle generiert werden, die Sicherheitsprüfungen gezielt umgehen.
Gartner verweist zudem auf ein rechtliches Risiko: Laut öffentlichen Angaben von Anthropic ist Claude Code zu 90 Prozent KI-generiert. Nach aktueller US-Rechtslage mit Fokus auf menschliche Urheberschaft genießt solcher Code nur eingeschränkten urheberrechtlichen Schutz, was die IP-Lage für alle Unternehmen mit KI-generiertem Produktivcode unsicher macht.
DMCA-Takedown auf GitHub und Rückrudern
Als Reaktion auf den Leak reichte Anthropic eine Löschmitteilung nach US-Digitalurheberrecht bei GitHub ein, um Repositorys mit dem geleakten Code entfernen zu lassen. Laut GitHub-Daten wurden daraufhin rund 8.100 Repositorys blockiert, darunter auch legitime Forks des ohnehin öffentlichen Claude-Code-Repos von Anthropic. Betroffene Entwickler:innen beschwerten sich in sozialen Netzwerken über die Sperrungen.
Der Leiter von Claude Code bei Anthropic erklärte später, der weite Umfang der Maßnahme sei unbeabsichtigt gewesen. Die Löschanfrage wurde zurückgenommen und auf ein einzelnes Repository sowie 96 Forks mit dem tatsächlich geleakten Quellcode begrenzt. GitHub stellte den Zugriff auf die übrigen Forks wieder her. Anthropic sprach von einem Fork-Netzwerk, durch das der ursprüngliche Takedown deutlich mehr Projekte als geplant erfasst habe.
Für Euch als potenzielle Kund:innen von KI-Entwicklungstools bleibt damit nicht nur ein Einblick in die innere Funktionsweise eines führenden Coding-Agents, sondern auch ein deutliches Warnsignal in Bezug auf Sicherheitsprozesse, Lieferkette und Umgang mit Urheberrecht.
Via: venturebeat.com · techcrunch.com
