59.8MB 的疏忽，正被黑产连夜变现

一次发布流程上的小疏忽，59.8MB 的源码映射文件，让 Anthropic 的 Claude Code 完整源码裸奔在互联网上。而嗅觉最灵敏的不是安全研究员，是黑产——他们连夜搭好假仓库、做好搜索引擎优化，等着开发者自己送上门。

这起事件的价值不止于吃瓜。它把两个老问题叠加成了一个新问题：AI 原生工具的供应链安全，和「热点即攻击面」的社会工程学变现路径。拆开看，每一段都值得从业者警惕。

🔓 泄露的不是代码，是攻击者的说明书

故事的开头平淡无奇。Anthropic 在发布 Claude Code 的 npm 包时，因操作疏忽，意外把一个 59.8MB 的 JavaScript 源码映射文件（sourcemap）一并打了进去。

对于不熟悉前端工程的人来说，sourcemap 本身不是漏洞，它是用来把编译后的代码映射回源码的调试文件。但它一旦随生产包发布，等于把源码原文附赠给所有下载者。

这次的「赠品」分量不小：

• 1906 个文件
• 共计 51.3 万行 未做混淆处理的 TypeScript 代码

被暴露的不只是普通的业务逻辑。据 Zscaler 报告，泄露内容涵盖这款 AI 代理工具的调度逻辑、权限与执行机制、隐藏功能、编译细节以及多项安全相关核心实现。

换一个角度理解：任何想研究 Claude Code 如何在终端中实现系统直接交互、大语言模型 API 调用管理、MCP 集成以及持久化记忆的人，现在都有一份完整的参考实现摆在面前。

代码很快被大量用户下载并上传至 GitHub，出现数千次复刻分叉。到这一步，泄露本身还只是「尴尬」。

真正的问题在下一环：有人发现，这个热点可以变现。

🎣 一场教科书级的「热点劫持」

金句先放这里：攻击者从不需要自己挖洞，他们只需要守在你搜索的路上。

Zscaler 的研究人员观察到的攻击链路相当经典，但执行得干净利落：

一个用户名为 idbzoomh 的账号在 GitHub 上发布了伪造的 Claude Code「泄露版」仓库，宣称该版本「解锁企业级功能」且无使用限制。对于刚听说源码泄露、正四处搜索的程序员来说，这个说辞几乎量身定制——既符合热点，又迎合了「白嫖」心理。

更关键的一步是搜索引擎优化。该仓库专门针对搜索做了优化，当用户在谷歌搜索「leaked Claude Code」等关键词时，它会出现在结果前列。流量不是碰运气来的，是买好广告位等着的。

完整攻击链如下：

用户最终下载到的，是一个 7-Zip 压缩包，内含名为 ClaudeCode_x64.exe 的 Rust 语言可执行程序。运行之后，双载荷落地：

• Vidar：通用窃密木马，负责扒走浏览器保存的凭据、Cookie、加密钱包等敏感数据；
• GhostSocks：网络流量代理工具，把受害机器变成攻击者可控的出口节点。

一个偷数据，一个留后门赚「流量钱」，分工明确。据多位安全圈人士私下交流，Vidar 类窃密木马近两年已是初失窃（initial access）市场的硬通货——偷到的企业凭据转手就能在地下市场卖个好价钱，后续是勒索还是横移，全看买家。

⚠️ 两个仓库，一种测试思维

这起事件里最值得安全团队细品的细节，是研究人员发现的第二个仓库。

代码与第一个仓库完全相同，但「下载 ZIP」按钮在分析期间处于失效状态。Zscaler 判断：该仓库由同一威胁组织运营，很可能用于测试不同的投放传播策略。

这不是草台班子的一次性收割，而是带 A/B 测试意识的持续运营。再叠加一个事实：该恶意压缩包会频繁更新，未来不排除被加入其他恶意载荷。

产业逻辑很清晰：热点事件的生命周期，就是攻击窗口期。从源码泄露到假仓库 SEO 置顶，中间可能只隔了几个小时。传统钓鱼攻击还要伪造「发票」「工资单」，现在的攻击者直接蹭开发者最关心的技术热点——你搜什么，我就把自己排到哪。

对开发者群体来说，这意味着一次心理防线的重新校准：「从 GitHub 下载」不再天然等于安全。尤其当下载动机里掺着「泄露」「破解」「解锁付费功能」这类兴奋剂时，判断力会系统性下降。攻击者对此心知肚明。

🧭 AI 工具链，正在成为新的供应链软肋

把镜头拉远，这起事件的深层问题在于：AI 原生开发工具正在批量接入开发者的最高权限环境，但对应的供应链治理还没跟上。

Claude Code 这类终端代理工具，权限模型天然激进——直接与系统交互、管理 API 调用、集成 MCP、维持持久化记忆。也就是说，它离你的凭据、代码仓库和云环境，只隔着一层终端。这样的工具一旦被伪造版本替换，破坏力远超一个普通恶意 npm 包。

给从业者的几条可落地建议：

1. 发布侧：构建流水线里对 sourcemap 做强制剥离或私有化托管，这是本次事件的直接教训，成本几乎为零；

2. 下载侧：不下载任何「泄露版」「解锁版」工具，热点期间对搜索结果前列的陌生仓库保持最高警惕，核对仓库创建时间、star 增长曲线与提交历史；

3. 企业侧：对 AI 代理类工具纳入终端管控与白名单，Vidar 偷的是浏览器凭据、GhostSocks 开的是代理通道，两者都有明确的网络侧检测特征；

4. 检测侧：关注恶意压缩包频繁更新这一信号，载荷列表未来可能加长，仅靠一次性 IOC 匹配会失效。

据圈内多位接近厂商的人士说法，头部 AI 公司内部已经开始复盘「发布物料审查」流程，sourcemap 泄露被列为必须封堵的清单项。这不是 Anthropic 一家的问题——AI 工具迭代速度与发布纪律之间的张力，会反复出现。

🔑 结语：热点会过期，攻击链不会

回头复盘，这次事件里没有一个传统意义上的「漏洞」。没有内存破坏，没有越权访问，只有一个打包时的疏忽，加上一群懂得 SEO、懂得开发者心理的黑产从业者。

但这恰恰是最值得警惕的形态：攻击的门槛在降低，速度在加快，而信任链上的每一环——npm、GitHub、搜索引擎、开发者自己——都被用作了跳板。

对 Anthropic 来说，这是一堂昂贵的发布纪律课；对整个行业来说，这是一次预演。当下一代 AI 工具带着更高的系统权限落地时，类似的「热点劫持」只会更精准、更迅速。

开发者能做的，说到底就一句话：再热的热点，也别让它替你做下载决定。