Offenlegung des Quellcodes für Anthropic Claude Code

KRITISCHE WARNMELDUNG: Der Quellcode von Anthropics Claude wurde über npm veröffentlicht und wird von Cyberkriminellen
für Angriffe missbraucht. Hier erfahren Sie, wie Sie Ihr Unternehmen schützen können.

Einführung

Am 31. März 2026 hat Anthropic versehentlich den vollständigen Quellcode von Claude Code (seinem Flaggschiffprodukt, einem terminalbasierten KI-Codierungsagenten) durch eine 59,8 MB große JavaScript-Quellzuordnungsdatei (.map) offengelegt, die im öffentlichen npm-Paket @anthropic-ai/claude-code Version 2.1.88 enthalten war. Der Sicherheitsforscher Chaofan Shou (@Fried_rice) machte die Offenlegung auf X öffentlich, was eine sofortige virale Reaktion auslöste.

Die geleakte Datei enthielt laut Online-Veröffentlichungenrund 513.000 Zeilen unverschlüsselten TypeScript-Code in 1.906 Dateien und enthüllte damit die vollständige clientseitige Agentenarchitektur. Innerhalb weniger Stunden wurde der Quellcode aus Anthropics eigenem Cloudflare-R2-Bucket heruntergeladen, auf GitHub gespiegelt und zehntausende Male kopiert. Tausende Entwickler, Forscher und Cyberkriminelle analysieren, kopieren und portieren den Code aktiv. Rust/Python und wird weiterverbreitet. Einige der GitHub-Repositories haben über 84.000 Sterne und 82.000 Forks erreicht. Anthropic hat auf einigen Mirrors DMCA-Mitteilungen (Digital Millennium Copyright Act) veröffentlicht, aber der Code ist mittlerweile in Hunderten von öffentlichen Repositories verfügbar.

Neben der Diskussion über das Anthropic-Leak behandelt dieser Blogbeitrag auch einen „Claude Code Leak“-Köder, der Vidar- und Ghostsocks-Malware verbreitet und vom Zscaler ThreatLabz-Team entdeckt und analysiert wurde.

Empfehlungen

• Implementieren Sie eine Zero-Trust-Architektur und priorisieren Sie die Segmentierung des Zugriffs auf unternehmenskritische Anwendungen.
• Sie sollten keinen Code aus einem GitHub-Repository herunterladen, forken, kompilieren oder ausführen, bei dem es sich angeblich um „geleakten Claude Code“ handelt. Überprüfen Sie alle Quellen ausschließlich anhand der offiziellen Kanäle von Anthropic.
• Weisen Sie Entwickler darauf hin, dass geleakter Code nicht „quelloffen“ ist. Vielmehr bleibt er Eigentum des Herstellers und ist in der unveränderten Ausführung gefährlich.
• Vermeiden Sie die Ausführung von KI-Agents mit lokalen Shell- bzw. Tool-Zugriff auf nicht vertrauenswürdige Codebasen.
• Überwachen Sie Entwickler-Workstations auf anomale Telemetriedaten oder ausgehende Verbindungen.
• Verwenden Sie ausschließlich offizielle Kanäle und signierte Binärdateien.
• Scannen Sie lokale Umgebungen und Git-Klone nach verdächtigen Prozessen, geänderten Hooks oder unerwarteten npm- Paketen und lassen Sie eine Abkühlfrist vergehen bevor Sie neue npm-Pakete verwenden.
• Achten Sie auf Patches von Anthropic für neu exponierte Pfade.

Hintergrund

Claude Code ist der offizielle KI-gestützte Programmierer von Anthropic. CLI/agent Das Programm delegiert Aufgaben direkt im Terminal mithilfe von Hooks, Hintergrundprozessen, autonomen Daemons und lokalen Ausführungsfunktionen. Das Datenleck entstand durch einen Paketierungsfehler, bei dem Bun (die verwendete Laufzeitumgebung) standardmäßig eine vollständige Quellcodezuordnung generierte, wobei *.map weder in.npmignore noch im Feld „files“ der package.json ausgeschlossen wurde. Die Map-Datei verwies auf ein vollständiges ZIP-Archiv der ursprünglichen TypeScript-Quelltexte, die auf der Infrastruktur von Anthropic gehostet wurden.

Exponierte Komponenten

• Agenten-Orchestrierung: LLM-API-Aufrufe, Streaming, Tool-Aufrufschleifen, Wiederholungslogik, Thinking/Review-Modi, Multiagent-Koordination.
• Berechtigungs- und Ausführungsschicht: Claude Code Hooks (automatisch ausführende Shellbefehle/-Skripte), Integrationen des Model Context Protocol (MCP), Umgang mit Umgebungsvariablen, Projektlastabläufe.
• Speicher und Zustand: Persistente Speichersysteme, Hintergrund-Agents/autonomone Daemons.
• Interne Sicherheitsaspekte: Telemetrieanalyse, Verschlüsselungstools, Interprozesskommunikation (IPC), OAuth-Abläufe, Berechtigungslogik.
• Verborgene/eingeschränkte Merkmale: 44 Feature-Flags (>20 noch nicht ausgeliefert), internes API-Design, System-Prompts.
• Build- und Abhängigkeitsdetails: Exakte npm-Verarbeitung, lokale Ausführungspfade.

Nicht exponiert: Modellgewichte, Sicherheitspipelines oder Userdaten.

Potenzielle Missbrauchs- und Sicherheitsrisiken

Die rege Weitergabe über GitHub (Tausende von Forks, Sternen und Spiegeln durch Entwickler weltweit) macht dies zu einem Einfallstor für Missbrauch. Zu den wichtigsten Risiken gehören:

1. Lieferkettenangriffe durch bösartige Forks und Spiegelserver: Tausende von Repositories beherbergen mittlerweile den geleakten Code oder dessen Ableitungen. Angreifer können (und tun dies bereits) mit Trojanern versehene Versionen mit Backdoors, Datenexfiltrierern oder Kryptominern versehen. Nichtsahnende User, die „offiziell aussehende“ Forks klonen, riskieren eine sofortige Kompromittierung.
2. Verstärkte Ausnutzung bekannter und Entdeckung neuer Schwachstellen: Bereits bestehende Sicherheitslücken (z. B. CVE-2025-59536, CVE-2026-21852, Remote Code Execution (RCE) und API-Schlüssel-Exfiltration über manipulierte Repository-Konfigurationen, Hooks, MCP-Server und Umgebungsvariablen) lassen sich nun deutlich einfacher ausnutzen. Angreifer mit vollständigem Quellcode-Einblick können präzise manipulierte Repositories oder Projektdateien erstellen, die durch Klonen/Öffnen eines nicht vertrauenswürdigen Repository beliebige Shell-Befehle ausführen oder Anmeldedaten stehlen. Der offengelegte Hook und die Berechtigungslogik machen die unbemerkte Geräteübernahme zuverlässiger.
3. Kompromittierung der lokalen Umgebung und der Entwicklerarbeitsplätze: User, die den geleakten Code lokal erstellen oder ausführen, führen ungeprüfte Abhängigkeiten und Ausführungspfade ein. Das Leck fiel zeitlich exakt mit einem separaten bösartigen Axios-npm- Lieferkettenangriff zusammen (RATs veröffentlicht am 31. März, 00:21–03:29 UTC), was für jeden, der an diesem Tag den Claude-Code über npm aktualisiert, die Gefahr deutlich erhöhte.

ThreatLabz entdeckt einen Köder namens „Claude Code leak“, der Vidar und GhostSocks verbreitet.

Bei der Überwachung von GitHub auf Bedrohungen stieß ThreatLabz auf ein von idbzoomh veröffentlichtes Repository mit dem Titel „Claude Code leak“ (Links dazu befinden sich im IOC-Bereich). Das Repository sieht so aus, als solle es als geleakter TypeScript-Quellcode für Anthropics Claude Code CLI ausgegeben werden. In der README-Datei wird sogar behauptet, der Code sei über eine .map-Dateizugänglich gemacht worden. Die Datei wurde im npm-Paket gespeichert und anschließend zu einem funktionierenden Fork mit „freigeschalteten“ Enterprise-Funktionen und ohne Nachrichtenbeschränkungen neu erstellt.

Der Link zum Repository wird bei Suchanfragen wie „geleakter Claude Code“ weit oben in den Google-Suchergebnissen angezeigt, sodass neugierige User ihn leicht finden können, wie in der folgenden Abbildung dargestellt.

Abb. 1: Die Google-Suchergebnisse für „geleakter Claude Code“ auf GitHub führen zu einem bösartigen Repository.

Abb. 2: Bösartiges GitHub-Repository, das den offengelegten Quellcode von Claude als Köder verwendet.

Das schädliche ZIP-Archiv im Release-Bereich des Repositorys trägt den Namen „Claude Code – Leaked Source Code(.7z)“. Das Archiv enthält: ClaudeCode_x64.exe, ein in Rust entwickelter Dropper. Bei der Ausführung wird der ClaudeCode_x64.exe Vidar v18.7 und GhostSocks wurden entfernt. Vidar dient dem Informationsdiebstahl, GhostSocks wird als Proxy für Netzwerkverkehr verwendet. Anfang März meldete ein anderer Sicherheitsanbieter eine ähnliche Kampagne, bei der GitHub zur Verbreitung derselben Schadsoftware missbraucht wurde.

Der Angreifer aktualisiert das schädliche ZIP-Archiv in kurzen Abständen. Zum Zeitpunkt der Analyse stellte ThreatLabz fest, dass im Abschnitt „Releases“ innerhalb kurzer Zeit zwei ZIP-Archive aktualisiert wurden. Die Abbildung unten zeigt das erste ZIP-Archiv, auf das ThreatLabz gestoßen ist; es wurde vor etwa 13 Stunden aktualisiert.

Abb. 3: GitHub-Repository, das die Offenlegung des Claude-Codes als Köder nutzt, um bösartige ZIP-Archive zu verbreiten.

ThreatLabz identifizierte außerdem das gleiche GitHub-Repository, das unter einem anderen Konto gehostet wird (im IOC-Bereich zu finden), das identischen Code enthält und offenbar vom gleichen Bedrohungsakteur, idbzoomh, übernommen wurde.

Im Gegensatz zum vorherigen Repository enthält dieses keine Rubrik mit Releases. In der README-Datei ist ein gut sichtbarer „Download ZIP“-Button enthalten. Dieser verlinkt jedoch nicht auf eine kompilierte Binärdatei oder ein Archiv und war zum Zeitpunkt der Analyse nicht funktionsfähig. Die Abbildung unten zeigt das Repository und eine nicht funktionsfähige Schaltfläche.

Abb. 4: Weiteres GitHub-Repository, das denselben Köder für das Claude-Code-Leak enthält, mit einem „Download ZIP“-Button.

Fazit

Bedrohungsakteure nutzen den kürzlich offengelegten Claude-Code aktiv als Social-Engineering-Köder, um bösartige Payloads zu verbreiten, wobei GitHub als Verbreitungskanal dient. Bedrohungsakteure reagieren schnell, um einen öffentlich bekannt gewordenen Vorfall auszunutzen. Eine derart schnelle Bewegung erhöht die Wahrscheinlichkeit opportunistischer Kompromittierung, insbesondere durch trojanisierte Repositories.

Unternehmen müssen der Implementierung Zeiner Zero-Trust-Architektur Priorität einräumen, um die Auswirkungen einer Schatten-KI-Instanz eines manipulierten (trojanisierten) Claude-Agents sowie potenzielle Versuche zur Ausnutzung von Schwachstellen bei legitimen Claude-Agents, die sich aus diesem Code-Leak ergeben, zu minimieren.

Schutzmaßnahmen von Zscaler

Zscaler hat Schutz gegen die Bedrohungen im Zusammenhang mit der trojanisierten Version des Claude-Quellcode-Repositorys sichergestellt und gewährleistet die Erkennung anhand der folgenden Bedrohungsnamen.

Advanced Threat Protection

• Win64.Downloader.TradeDownloader
• Win32.PWS.Vidar
• Win32.Trojan.GHOSTSOCKS

Indikatoren für eine Kompromittierung (IOCs)