获得徽章 0
- Claude Code 源码泄露（2026-03-31） 是一次非常典型、低级但影响很大的npm 发布配置失误，不是被黑客攻击，也不是愚人节彩蛋。
一、事件核心（一句话说清）
Anthropic 在 npm 发布 Claude Code v2.1.88 时，忘了在 .npmignore 里排除 source map（.map）文件，导致 51.2 万行 TypeScript 源码、1900+ 文件 完全公开。
二、怎么泄露的（技术原因）
- 发布包带了一个 59.8MB 的 cli.js.map （调试用源码映射）
- 里面带了完整 sourcesContent ，一行命令就能还原全部源码
- 这是 一年内第二次同类事故（2025-02 也漏过）
- 属于发布流程低级失误，不是模型权重/数据泄露
三、泄露了什么（关键内容）
-
完整 CLI 客户端：51万行TS、1906文件
- 43 个内置工具、26 个隐藏斜杠命令
- Undercover Mode（卧底模式）：反逆向、反调试
- 多智能体（Swarm）、IDE 桥接、权限系统、遥测
- 未发布功能代号：BUDDY、KAIROS、ULTRAPLAN
- 不包含：模型权重、训练数据、用户隐私、密钥
四、官方回应（Anthropic）
这是人为打包错误，非安全漏洞；
未涉及任何敏感用户数据或凭证；
已回退版本、删除泄露文件、加强发布校验
五、影响与后果
- 对 Anthropic：声誉重创、竞品可抄架构、IPO 形象受损
- 对社区：代码已全网镜像、GitHub 狂 Star/Fork、出现开源复刻版
- 对用户：无直接安全风险（无数据/密钥泄露）
- 对行业：暴露大厂发布流程漏洞，供应链安全被重视
六、你该关心什么（实用）
- 普通用户：照常使用，无风险
- 开发者：可学习架构，但商用侵权
- 安全圈：典型供应链疏忽案例
展开评论6
![[发怒]](http://lf-web-assets.juejin.cn/obj/juejin-web/xitu_juejin_web/img/jj_emoji_12.0f24f23.png)