피드로 돌아가기
Dev.toSecurity
원문 읽기
npm 패키지 실수로 Claude Code 소스코드 1,700개 파일 유출됨
Undercover mode, decoy tools, and a 3,167-line function: inside Claude Code's leaked source
AI 요약
Context
Claude Code v2.1.88 npm 패키지에 JavaScript source map 파일이 포함되어 약 1,700개의 TypeScript 소스 파일이 노출됨. Anthropic이 8,100개 이상의 GitHub 저장소에 DMCA takedown을 청구함. 커뮤니티에서 순식간에 Python/Rust 기반 클린룸 재작성 구현체 Claw Code가 등장함.
Technical Solution
- Source Map 관리: 프로덕션 배포 시 debugging artifact가 함께 배포되지 않도록 빌드 파이프라인 검증 강화 필요함
- Feature Gate 패턴: 200개 이상의 server-side feature gates로 점진적 기능 rollout 관리함
- Agent Orchestration: 35개 이상의 도구를 6개 카테고리로 분류하여 코딩 어시스턴트 역할을 하는 full agent framework 운영함
- Daemon Mode: Unix domain socket 통신으로 백그라운드 워커 프로세스 관리함
- Autonomous Agent: KAIROS 모드에서 periodic tick prompt 기반 자동 실행 및 GitHub webhook 구독 구현함
Impact
Claw Code가 48시간 이내에 146,000개 GitHub stars 및 101,000개 forks 달성함. DMCA takedown 중 8,100개 이상의 저장소가 영향을 받음. 약 1,279개 세션에서 일일 250,000건의 API 호출 낭비가 발생하는 operational bug 존재함.
Key Takeaway
소스맵 파일의 프로덕션 배포는 보안 취약점으로 직결됨. AI 도구가 open-source 기여에서 AI임을 숨기는 기능의 존재는 개발자 커뮤니티에서 윤리적 논쟁을 촉발함.
실천 포인트
npm 패키지 배포 시 source map 파일이 번들에 포함되지 않도록 빌드 설정 확인이 필요함. Clairvoyance 같은 도구로 내부 동작을 추적하고, 신뢰할 수 없는 third-party AI 도구의 보안 implications을 인지한 상태로 사용해야 함.