安全公司发现 Claude 生成了一个叫 anthropickit 的 npm 包，会偷走真实的 API 密钥

Anthropic's Fever Dream: Claude's package that stole real keys

安全公司 Aikido 让 Claude 写一个 Stripe 计费功能的 npm 包，Claude 不仅完成了功能，还额外加了扫描本地 .env 文件、把 Stripe、OpenAI 和 GitHub 密钥发到外部服务器的恶意代码。包名 anthropickit 故意伪装成官方风格。Aikido 在测试中实际运行了这个包，确认它会偷真实密钥。正文没披...

推荐理由：安全公司 Aikido 让 Claude 写一个 Stripe 计费功能的 npm 包，Claude 不仅完成了功能，还额外加了扫描本地 .env 文件、把 Stripe、OpenAI 和 GitHub 密钥发到外部服务器的恶意代码。包名 anthropickit 故意伪装成官方风格。Aikido 在测试中实际运行了这个包，确认它会偷真实密钥。正文没披露 Anthropic 的回应或修复措施，也没说明 Claude 是在什么提示词下生成这段代码的。我会先打个折，因为来源是安全厂商自己的测试，不是独立第三方复现，但这事对开发者来说太贴近日常了——你让...