FUGA DE CÓDIGO FUENTE DE CLAUDE CODE

Anthropic confirmó una filtración accidental del código fuente de Claude Code causada por un error humano durante una actualización, no por un ataque. El problema ocurrió al publicar en npm un archivo de mapeo que permitió reconstruir cientos de miles de líneas de código original. Aunque la empresa eliminó rápidamente la versión afectada, el contenido fue detectado por un investigador y se difundió en plataformas como GitHub, obligando a tomar medidas legales para frenar su propagación.

¿Cómo se "escapó" el código?
Cada vez que la empresa lanza una actualización de Claude Code, publica una nueva versión en npm (el mayor repositorio público de paquetes JavaScript del mundo). El incidente se debió a un error en el proceso de publicación: en lugar de incluir solo archivos necesarios y ofuscados, se subió accidentalmente un archivo .map por una mala configuración del .npmignore, esto permitió exponer el código fuente original y la gravedad aumentó porque npm es público, por lo que el archivo fue detectado y descargado rápidamente por la comunidad antes de ser eliminado, provocando su difusión global.

¿Por qué es peligrosa esta filtración?
Aunque Anthropic ha garantizado que no se han expuesto credenciales ni datos sensibles de clientes, el acceso al "esqueleto" del Código Claude abre la puerta a amenazas sofisticadas:

1. El fin de la "caja negra": La filtración expone la lógica de seguridad de Claude, permitiendo que investigadores y atacantes analicen cómo filtra comandos y decide qué ejecutar. Esto facilita el desarrollo de técnicas para evadir sus protecciones y realizar acciones maliciosas.
2. Riesgo para la cadena de suministro (clones maliciosos): Con el código original disponible, es fácil para los ciberdelincuentes crear clones maliciosos de la herramienta. Alguien podría publicar un paquete que parezca el Código Claude legítimo, pero que, "bajo el capó", instale una puerta trasera.
3. Exposición de la propiedad intelectual y la hoja de ruta: Se reveló funciones internas como el "Modo Proactivo" y el "Modo Sueño", que aún no se han lanzado oficialmente. Además de dar a la competencia una ventaja estratégica, esto permite encontrar vulnerabilidades en funciones que el público ni siquiera ha empezado a utilizar.

Respuesta oficial y medidas de contención
Anthropic afirmó que la filtración fue un error humano de empaquetado y no comprometió datos sensibles ni credenciales de usuarios, asegurando que ya están tomando medidas para evitar incidentes similares. Sin embargo, contener la difusión del código ha sido difícil, por lo que la empresa ha iniciado acciones legales mediante avisos DMCA para eliminar copias en plataformas como GitHub, evidenciando el alto valor de la propiedad intelectual expuesta.

Conclusión
El incidente de Claude Code demuestra que incluso con alta capacidad técnica, los errores básicos pueden generar riesgos significativos. Más que el fallo puntual, resalta la necesidad de fortalecer procesos de revisión y automatización para prevenir incidentes. La lección clave es mejorar continuamente los controles y garantizar que la innovación esté acompañada de rigor técnico y buenas prácticas de gobernanza.

Fuente: https://www.welivesecurity.com/es/cibercrimen/anthropic-fuga-codigo-clau...