Claude Code 源代码因其 NPM 注册表中的 map 文件而遭泄露
Hacker News 摘要原标题：Claude Code's source code has been leaked via a map file in their NPM registry
根据网页内容，Anthropic 公司开发的终端 AI 编程助手 Claude Code 的源代码因其在 NPM 注册表（NPM Registry）中的一个配置疏忽而遭到泄露。
此次泄露的详细情况如下：
泄露原因与性质
• Source Map 文件残留：泄露并非由黑客攻击引起，而是因为开发人员在发布生产版本代码时，错误地包含了 Source Map 文件。
• 逆向还原：这些文件就像一份蓝图，允许任何人将压缩混淆后的生产环境代码重新翻译回 Anthropic 工程师编写的原始、人类可读的源代码。
• 非首次发生：有用户指出这已经是第三次发生类似事件。此前在 2025 年 2 月，v0.2.8 和 v0.2.28 版本也曾携带完整的 Source Map 发布，随后被存档并分叉。
涉及内容与影响
• 核心逻辑公开：尽管泄露不会直接导致用户个人数据面临风险，但 Claude Code 的私有架构、内部逻辑和提示词（Prompts）现在已对公众可见。
• 隐藏功能曝光：有开发者在源码中发现了一个名为 Buddy 的未发布隐藏功能，其中一个代号可能为 capybara。
• 社区反应：目前已有用户在 GitHub 上创建了备份仓库，并有人通过绕过配额检查等方式对手头获取的代码进行研究。
• 安全质疑：部分评论认为，Anthropic 作为一家估值巨大的 AI 巨头，在操作安全（OpSec）记录上与其强调的 AI 安全品牌形象存在差距，2026 年已有三个已披露的 CVE 漏洞。
舆论观点
• 讽刺与戏谑：不少开发者嘲讽这是 AI 完全接管代码编写后的后果，称其为历史上最礼貌的一次代码公开。
• 反思与警示：许多人借此提醒，在生产环境中发布 NPM 包时务必检查 Source Map。
• 开源呼吁：部分用户建议 Anthropic 索性顺势将 Claude Code 完全开源。
目前，虽然泄露的压缩包链接在社交媒体上流传，但也有安全意识较强的用户警告大家在下载此类来源不明的代码库时要保持谨慎，防止潜在的安全风险。
原文：https://twitter.com/Fried_rice/status/2038894956459290963