تم اختراق ميزة الحيوان الأليف الجديدة لClaude خلال يوم واحد: المجتمع يصدر أداة إعادة رسم مفتوحة المصدر

وفقًا لمراقبة 1M AI News، بعد ساعات قليلة فقط من إطلاق ميزة الحيوان الأليف/نظام الصاحب الجديد لدى Claude Code، اكتشف مجتمع المطورين طريقة لإعادة الرسم (re-draw) من كود مصدر مُسرب. وقد انتشرت أدوات ومناهج مفتوحة المصدر بالفعل عبر منصات مثل Linux.do وV2EX وGitHub. توجد على الأقل طريقتان لإعادة الرسم. تستهدف إحداهما قيمة salt ثابتة في خوارزمية توليد الحيوان الأليف، وهي مُضمّنة كـسلسلة من 15 حرفًا داخل منتج Claude Code المُجمَّع. ومن خلال استبدالها بسلسلة بنفس الطول، يمكن تغيير البذرة العشوائية (random seed)، ويمكن العثور على القيمة المقابلة للحيوان الأليف المستهدف عبر التعداد الشامل بالقوة (brute force enumeration). أما الطريقة الأخرى فتستغل الاختلافات في مسارات المصادقة: عندما يسجل المستخدمون المشتركون الدخول بشكل طبيعي، يصدر الخادم accountUuid كقيمة بذرة للحيوان الأليف لا يمكن العبث بها. ومع ذلك، عند المصادقة عبر متغيرات البيئة، لا تُكتب هذه القيمة إلى الإعدادات المحلية، ما يسمح للنظام بالعودة إلى حقل userID القابل للتعديل. تُعد طريقة تغيير salt هي الأضعف، لأنها ستُستبدل في تحديث Claude Code التالي. كما أن تغيير userID له مدة صلاحية للمستخدمين المشتركون، إذ يمكن لـAnthropic ببساطة إضافة منطق لكتابة accountUuid من مسار متغير البيئة لحظره. أما مستخدمو API (الذين يجرون المصادقة باستخدام مفتاح API الخاص بهم) فلا يملكون accountUuid، ما يسمح لهم بتعديل userID مباشرةً، وبالتالي يوفر نافذة أطول من الفرص، لكن يمكن لـAnthropic أيضًا حظر ذلك بالمثل عبر إنشاء معرف ثابت من خلال تجزئة مفتاح API. لا يتم تخزين بيانات الهيكل (Skeleton) محليًا؛ بل يتم حسابها في الوقت الفعلي عند كل عملية بدء تشغيل، ما يعني أن أي تصحيحات على جانب الخادم يمكن أن تُفعّل فورًا. بالإضافة إلى ذلك، لا يُستخدم userID في نظام الحيوان الأليف فقط. يشير الكود المصدري المُسرب إلى أن تقارير القياس عن بُعد (telemetry) ومجموعات اختبار A/B تقرأ أيضًا هذه القيمة، وقد يؤدي تعديلها إلى شذوذات في الميزات التجريبية أو إلى تفتت البيانات.