Anthropic verlor die Kontrolle über den Quellcode von Claude Code

Anthropic veröffentlichte Ende März ein Update seines Tools Claude Code in der Version 2.1.88, und jemand bemerkte etwas, das dort definitiv nicht hätte enthalten sein dürfen. Den gesamten Quellcode. Alle knapp 512.000 Zeilen. Der Sicherheitsforscher Chaofan Shou veröffentlichte seine Entdeckung auf der Plattform X.

Der Beitrag verzeichnete innerhalb weniger Stunden mehr als 21 Millionen Aufrufe. Und noch bevor Anthropic reagieren konnte, wurde der Code kopiert, analysiert und mit Lichtgeschwindigkeit über GitHub verbreitet.

Der Fehler war überraschend banal. Beim Erstellen des Pakets für das Update wurde versehentlich eine Debug-Datei, eine sogenannte Source Map (cli.js.map), mitgeliefert, die die gesamte TypeScript-Codebasis enthielt. Jeder, der das Claude-Code-Update heruntergeladen hatte, bekam plötzlich Zugriff auf die interne Architektur eines der weltweit beliebtesten KI-Tools.

Das Leak enthielt den Quellcode des CLI-Clients, die Architektur der Agenten, bislang unveröffentlichte Funktionen sowie interne Tools. Passwörter oder Kundendaten waren in dem Paket nicht enthalten. Anthropic bestätigte dies rasch: „Es handelte sich um einen durch menschliches Versagen verursachten Fehler bei der Paketerstellung, nicht um einen Sicherheitsvorfall.“ Doch selbst ohne Nutzerdaten ist die Situation äußerst unangenehm.

Was verriet der Code?

Die Entwickler, die sich sofort mit dem Code beschäftigten, fanden darin Dinge, die Anthropic noch nicht öffentlich vorgestellt hatte. Und davon gab es eine ganze Menge.

Einer der interessantesten Funde ist eine Funktion, die an ein Tamagotchi erinnert. Im Quellcode verbirgt sich ein kleines virtuelles Haustier, das „neben dem Eingabefeld sitzt und auf das Schreiben von Code reagiert“. Das klingt verspielt, ist in Wirklichkeit jedoch eine ausgeklügelte Methode, um Nutzer aktiv bei der Arbeit zu halten.

Dann gibt es noch eine Funktion namens KAIROS, die als dauerhafter, im Hintergrund laufender Agent konzipiert ist. Dadurch könnte Claude ununterbrochen arbeiten, selbst wenn der Nutzer nichts tut. Hinzu kommt ein System zur Übertragung von Erkenntnissen zwischen einzelnen Unterhaltungen, also eine Art dauerhaftes sitzungsübergreifendes Gedächtnis, über das Claude Code bislang nicht verfügt.

Im Quellcode fand sich außerdem eine Fernsteuerung per Smartphone oder über einen anderen Browser. Diese Funktion wurde inzwischen veröffentlicht, doch die übrigen Bestandteile deuten stark darauf hin, wohin Anthropic steuert: zu komplexeren, eigenständigen Agenten, die über längere Zeit autonom arbeiten können.

Einer der Anthropic-Entwickler hatte im Code vermerkt, dass „die Memoisierung die Komplexität hier stark erhöht und ich nicht sicher bin, ob sie die Leistung tatsächlich verbessert“. Ein menschlicher, ehrlicher Kommentar, der unter normalen Umständen niemals das interne Repository verlassen hätte.

8.000 Löschanträge

Anthropic reagierte schnell. Bis zum Morgen des 1. April stellte das Unternehmen bei GitHub mehr als 8.000 Anträge auf Entfernung von Inhalten. Doch das Internet hat seine eigene Trägheit. Das Repository mit dem Code wurde mehr als 50.000-mal kopiert, und der Beitrag mit dem Link zum Leak erreichte auf X über 29 Millionen Aufrufe. The Guardian schrieb, dass eine erneut hochgeladene Version des Quellcodes zum am schnellsten heruntergeladenen Repository in der Geschichte von GitHub geworden sei. Mit Löschanträgen lässt sich das Original entfernen, doch die Kopien verbreiten sich einfach weiter.

Und was ist mit der Konkurrenz? OpenAI, Google oder xAI erhielten kostenlos einen detaillierten Einblick in die Architektur eines Tools, dessen jährliche Einnahmen 2,5 Milliarden US-Dollar überschritten haben. Damit sparten sie sich Monate des Reverse Engineerings.

Der zweite Fehltritt innerhalb einer Woche

Es war nicht das erste Leak bei Anthropic in den vergangenen Tagen. Einige Tage zuvor hatte Fortune darüber berichtet, dass das Unternehmen Tausende interne Dateien auf öffentlich zugänglichen Servern gespeichert hatte. Darunter befanden sich auch Arbeitsversionen eines Blogbeitrags, in dem bislang nicht angekündigte Modelle mit den Codenamen „Mythos“ und „Capybara“ erwähnt wurden.

Zwei Leaks in weniger als einer Woche. Für ein Unternehmen, das sich als sicherstes Labor für künstliche Intelligenz präsentiert, ist das kein gutes Aushängeschild. Analysten merkten gegenüber The Verge an, dass zwar keine unmittelbaren gravierenden Schäden drohten, der Vorfall jedoch ein Anlass sein sollte, in „Prozesse und Tools für eine höhere betriebliche Reife“ zu investieren.

Und dann gibt es noch einen weiteren Kontext: Anthropic bereitet sich Berichten zufolge auf einen Börsengang mit einer Bewertung von rund 380 Milliarden US-Dollar vor. Eine Serie von Sicherheitsversäumnissen vor dem Börsengang ist nicht gerade das, was Investoren gerne sehen.