Sie filtern den Claude Code und zeigen KAIROS: den persistenten Agenten, der im Hintergrund arbeiten könnte

Der frühere Vorfall in Anthropic - wo ein Teil des Quellcodes seines Programmierassistenten Claude Code öffentlich zugänglich wurde - erinnert daran, dass selbst die Unternehmen, die am meisten auf künstliche Intelligenz konzentriert sind, nicht von menschlichen Fehlern mit kraftvollen Folgen befreit sind. Laut dem Unternehmen selbst war die Veröffentlichung das Ergebnis eines Ausfalls in der Verpackung und nicht eines externen Angriffs, und sie sorgen dafür, dass keine Anmeldeinformationen oder sensiblen Kundendaten angezeigt wurden. Der Umfang des gefilterten Materials und die Geschwindigkeit, mit der es sich bewegte, machten jedoch deutlich, dass die technischen und namhaften Risiken real und von großer Größe sind. Für diejenigen, die Medienabdeckung und offizielle Aussagen überprüfen möchten, können Sie mit Quellen beginnen, die als ANHANG und Fortune.

Was irrtümlich veröffentlicht wurde, war ein npm-Paket, das eine Quelle-Karte in der Lage, die meisten der Quellcode zu offenbaren: Tausende von TypeScript-Dateien und Hunderttausende von Codezeilen. Die technische Gemeinschaft teilte dieses Material bald und klonierte es, und innerhalb von Stunden wurde eine Flut von Gabeln, Sternen und öffentlichen Analysen beobachtet. Wer die Repositories und Suchanfragen in GitHub neugierig machen möchte, kann ähnliche Ergebnisse in GitHub, und Social-Media-Konversation kann von X (früher Twitter).

Jenseits des Morbos ist das Interesse nicht lässig: Der gefilterte Code bietet eine detaillierte Karte des internen Designs von Claude Code. Entwickler und Konkurrenten können studieren, wie Anthropic die Erinnerung an die Sitzung verwaltet, um Kontextbeschränkungen zu mildern, wie Orchester Modelle und Hilfswerkzeuge fordert, und sogar wie das Unternehmen denkt, seine persistenten Agenten, die Aufgaben im Hintergrund ausführen. Einige Fragmente - bereits öffentlich beschrieben von Menschen, die die Dateien untersucht - erwähnen Module für die Ausführung von Bash-Befehlen, bidirektionale Kommunikation mit IDE-Erweiterungen und Mechanismen, um "Sub-Agenten" zu starten, die in komplexen Aufgaben zusammenarbeiten.

Unter den auffälligsten Stücken ist eine Funktionalität, die unter dem Namen in den Dateien als KAIROS beschrieben wurde: ein persistentes Mittel, das in der Lage ist, proaktiv zu handeln, automatisch Fehler zu korrigieren und Benutzer ohne direkten Eingriff anzuzeigen. Darüber hinaus wurden Hinweise auf einen "Dream"-Modus gefunden, der es dem System ermöglichen würde, weiterhin Ideen im Hintergrund zu erzeugen. Es wurde auch auf eine Weise aufmerksam gemacht, die als Undercover-Modus bezeichnet wurde, die für den Assistenten entworfen wurde, diskrete Beiträge in öffentlichen Repositorien zu leisten, ohne die internen Informationen des Unternehmens zu enthüllen: das Ziel, nach dem erholten Text, war, dass die Commit-Nachrichten und die PR ihren Ursprung nicht gemeldet haben.

Während einige dieser Fähigkeiten aus Sicht der Automatisierung genial sind, öffnet die öffentliche Belichtung des Designs und der Datenketten, mit denen sie arbeiten, Angriffsvektoren viel anspruchsvoller als die üblichen Fehlerversuche durch Test und Fehler. Sicherheitsexperten haben gewarnt, dass schlechte Schauspieler mit dem Code in Sicht genau untersuchen können, wie Daten verdichtet werden und im Kontextmanagement bestehen bleiben und von dort böswillige Belastungen entwerfen können, die diese Prozesse überleben und eine unbefugte Präsenz während umfangreicher Sitzungen erhalten. Eine technische Diskussion über diese Risiken und Beispiele der theoretischen Ausbeutung findet sich in verknüpften Analysen und in Blogs von Sicherheitsunternehmen.

Das Problem war nicht nur der Zugriff auf den Code: das Ereignis war kompliziert, weil es laut öffentlichen Berichten ein temporäres Fenster gab, in dem die Person, die das Paket von npm installiert oder aktualisiert hatte, Einheiten, die von einem Supply-Chain-Angriff im Zusammenhang mit einer überfüllten Version einer beliebten HTTP-Buchhandlung begangen haben könnte. In Anbetracht dessen waren die sofortigen Sicherheitsempfehlungen klar: zurück zu Versionen, die als sichere, rotierende Geheimnisse und Überprüfungssysteme durch Verpflichtungsindikatoren bekannt sind. Für allgemeine Anleitungen zur Verwaltung von Vorkommnissen der Lieferkette und zum Schutz von Einheiten sind Ressourcen wie der CISA-Sicherheitsführer für Lieferketten und die GitHub- und npm-Sicherheitsdokumentation gute Ausgangspunkte: CISA - Lieferkette, GitHub - Code Security und npm Docs.

Eine weitere unmittelbare Ableitung war die schädliche Lärm-Nutzung Arbeit: Schauspieler, die Pakete mit Namen fast identisch mit den Praktikanten veröffentlichen (typosquatting) und auf Entwickler warten verzweifelt, um den gefilterten Code zu kompilieren, um diese falschen Abhängigkeiten zu installieren. Tatsächlich wurden Pakete, die von Benutzern veröffentlicht wurden, die interne Namen kopierten und im ersten Fall leere Stubs identifiziert; die klassische Taktik ist, Downloads zu gewinnen und dann ein bösartiges Update zu veröffentlichen, das Projekte wie abhängige Verwirrung infiziert. Um das Risiko dieser Technik und der empfohlenen Verteidigung zu verstehen, siehe die technische Dokumentation und Sicherheitsanalyse von Typosquatting und Verwirrung von Abhängigkeiten, zum Beispiel in spezialisierten Blogs wie Snyks: Snyk - Typosquating und Dependency Confusion.

Über den unmittelbaren technischen Schaden hinaus stellt die Folge ethische und strategische Fragen für die Industrie: Welches Geheimnis ist bei der Entwicklung von Werkzeugen, die Code in öffentlichen Repositorien schreiben und ändern können, akzeptabel? Wie kann Innovation mit technischen Kontrollen ausgeglichen werden, die Missbrauch verhindern, wie z.B. die Einführung von Funktionen, die Drittanbieter-Trainingsdaten vergiften wollen, wenn sie Output-Schrott erkennen? Die gefilterten Dateien fanden Anzeichen von Abwehrmaßnahmen, die darauf abzielen, die Destillation von Modellen durch Konkurrenten - wie die Injektion von falschen Werkzeugdefinitionen in Reaktionen - zu komplizieren, eine umstrittene Strategie, die die Debatte über Transparenz und aktive Verteidigung weiter erschwert.

Für Entwicklungsteams, die Programmierassistenten und Pakete von Drittanbietern verwenden, ist die Lektion doppelt: zum einen, Hygienepraktiken in Abhängigkeiten und Geheimnissen (Sicherheitsblöcke, Paket-Scannen, feste Versionsrichtlinien und Registrierungsänderungsüberwachung) aufrechtzuerhalten; zum anderen, die Überwachung über die Leistungsdauer von automatisierten Werkzeugen zu erhöhen, die Befehle ausführen oder mit dem Dateisystem interagieren. Die sicherheitsbesten Praxisführer von Plattformen wie npm und GitHub bieten konkrete Schritte, um Workflows zu härten und Angriffe von Paketökosystemen abzumildern.

Anthropic hat bereits gesagt, dass es interne Maßnahmen umsetzen wird, um zu verhindern, dass eine falsche Verpackung wieder passiert. Aber die Realität ist, dass im Ökosystem der modernen Software menschliche Fehler und Prozessfehler sehr schnell in Betriebsvektoren übersetzt werden. Die Gemeinschaft, Infrastrukturanbieter und Regulierungsbehörden müssen parallel arbeiten: interne Audits verbessern, frühzeitige Reporting-Kanäle bereitstellen und vor allem Nutzer erziehen, um schnell auf die Möglichkeit von Verpflichtungen in Einheiten zu reagieren. Für Quellen, die das Vorfallmanagement und die gute Praxis in Paketen diskutieren, werden offizielle npm-Dokumentation und spezielle Sicherheitsanalysen empfohlen: Das ist kein Problem. und Ressourcen, um auf Sicherheitsunterlagen zu reagieren.

Kurz gesagt, Anthropics Fehler ist eine nützliche Erinnerung, dass die Software, jedoch leistungsstark, nicht unfehlbar ist und dass die operative Sicherheit genauso wichtig ist wie die Kapazität des Modells. Die Welt der künstlichen Intelligenz und der kollaborativen Software bewegt sich schnell; die Frage ist, ob sich Sicherheit und Verantwortung mit der gleichen Geschwindigkeit bewegen können. Inzwischen ist für diejenigen, die Werkzeuge wie Claude Code verwenden, die unmittelbare Priorität, dass der Vorfall Nebenwirkungen haben und Eindämmungsmaßnahmen ergreifen kann: Überprüfung Abhängigkeiten, rotieren Geheimnisse und überwachen verdächtige Aktivität in Repositorien und Systemen.