A nova funcionalidade de animais de estimação do Claude foi hackeada em um dia: a comunidade lança ferramenta de reedição de código aberto

De acordo com a monitorização da 1M AI News, apenas algumas horas após o lançamento da nova funcionalidade de “animal de estimação”/sistema de buddy da Claude Code, a comunidade de programadores descobriu um método de re-draw a partir de código-fonte vazado. As ferramentas e tutoriais open-source já se divulgaram por plataformas como Linux.do, V2EX e GitHub. Existem pelo menos dois métodos de re-draw disponíveis. Um deles tem como alvo um valor de salt fixo no algoritmo de geração do pet, que está embutido (hardcoded) como uma string de 15 caracteres no produto compilado da Claude Code. Ao substituí-lo por uma string do mesmo comprimento, a seed aleatória pode ser alterada, e o valor correspondente para o pet alvo pode ser encontrado através de enumeração por força bruta. O outro método explora diferenças em caminhos de autenticação: quando utilizadores subscritos iniciam sessão de forma normal, o servidor emite um accountUuid como seed do pet, que não pode ser adulterado. No entanto, quando a autenticação é feita via variáveis de ambiente, esse valor não é escrito na configuração local, permitindo que o sistema recorra ao campo userID editável. O método de alterar o salt é o mais fraco, pois será sobrescrito na próxima atualização da Claude Code. Alterar o userID também tem uma “vida útil” para utilizadores subscritos, já que a Anthropic pode simplesmente adicionar lógica para escrever o accountUuid a partir do caminho da variável de ambiente para o bloquear. Os utilizadores de API (que autenticam usando a sua própria chave de API) não têm um accountUuid, permitindo-lhes modificar o userID diretamente, o que oferece uma janela de oportunidade mais longa, mas a Anthropic pode igualmente bloqueá-lo gerando um identificador estável através de hashing da chave de API. Os dados skeleton não são armazenados localmente; são calculados em tempo real em cada arranque, o que significa que quaisquer patches do lado do servidor podem surtir efeito imediatamente. Além disso, o userID não é usado apenas para o sistema de pet. O código-fonte vazado indica que a recolha de telemetria e os grupos de testes A/B também lêem este valor, e modificá-lo poderá causar anomalias em funcionalidades experimentais ou fragmentação de dados.