Vừa mới thấy trong nhóm có tin đồn, Anthropic lại để lộ bí mật😂

Phiên bản npm mới nhất của Claude Code, v2.1.88, vừa phát hành hôm qua, bị người phát hiện trong gói có chứa một tệp source map 60MB. Những người hiểu biết đều biết, khi cái này được phát hành, giống như trực tiếp gửi mã nguồn TypeScript đi luôn rồi.
Tôi xem qua dữ liệu, phiên bản trước đó v2.1.87 chỉ 17MB, lần này tăng vọt lên 31MB, sau khi giải nén lên tới 60MB. Có 1906 tệp nguồn, đầy đủ, gồm API nội bộ, hệ thống telemetry, công cụ mã hóa, giao tiếp IPC, tất cả đều bị lộ sạch sẽ.
Điều đáng nói nhất là gì? Đây không phải lần đầu tiên. Lần đầu vào tháng 2 năm ngoái khi phát hành lần đầu đã bị lộ một lần, sau đó đã âm thầm sửa. Kết quả là sau một năm, lại mắc phải cái bẫy cũ. Không rõ là thực tập sinh chịu trách nhiệm hay do lỗi trong script build, nhưng để mắc lỗi này hai lần thật sự là hơi quá đáng.
Trên GitHub đã có người sắp xếp mã nguồn lại rồi, repository của ghuntley gần đạt 1000 sao. Dĩ nhiên, nói đi cũng phải nói lại, việc lộ là mã CLI client, trọng số mô hình và dữ liệu người dùng không bị ảnh hưởng, không gây nguy hiểm trực tiếp cho người dùng bình thường.
Nhưng điểm thú vị ở chỗ này — công ty AI tự viết công cụ code của mình, lại để lộ chính mã của mình. Ở một mức độ nào đó, cũng coi như góp phần tạo ra một ví dụ điển hình cho “An toàn AI” trong lĩnh vực này.
Những bạn trong ngành kiểm toán có thể đi xem xét lại, xem có “quà tặng” nào ẩn chưa bị phát hiện không.
Đừng hỏi tôi nghĩ sao, tôi chỉ cảm thấy lần này giống như mở ra một cửa sổ kiểm toán miễn phí cho các hacker mũ trắng vậy. Còn về phía nội bộ của Anthropic, có lẽ cần phải xem xét lại quy trình CI/CD thật kỹ rồi.
Không phải lời khuyên đầu tư, chỉ là xem cho vui thôi.🍉