指路明灯君1. 事件概述：Claude Code源码泄露始末
2025年3月31日，AI领域发生了一起堪称史诗级的源码泄露事件。安全研究员Chaofan Shou在社交平台发布的一条简短推文，如同投入平静湖面的一颗巨石，瞬间在技术圈引发轩然大波。这条推文指出，Anthropic公司旗下的Claude Code产品源码通过npm包中的source map文件意外泄露。
这次泄露的规模之大、影响之深远，在AI发展史上实属罕见。短短7小时内，51.2万行TypeScript代码、1900多个源文件、40余个核心工具模块，以及大量尚未发布的实验性功能，全部被全球开发者挖掘出来。GitHub上的镜像仓库以惊人的速度增长，几小时内就获得了5万星标，fork数量更是突破4万大关。
讽刺的是，这并非Anthropic第一次犯下此类错误。就在半年前的2025年2月，Claude Code首次发布时就曾因为source map配置不当导致源码泄露。这次事件堪称"历史重演"，甚至连错误类型都如出一辙，不禁让人质疑Anthropic的安全管理能力。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 技术解析：source map如何导致源码泄露
要理解这次事件的严重性，我们需要先了解source map的工作原理及其在开发流程中的作用。source map本质上是一种调试辅助工具，它建立了压缩后的生产代码与原始源代码之间的映射关系。在开发过程中，这极大地方便了开发者定位和调试问题。
然而，将source map文件打包进生产环境的npm包中，无异于将金库的平面图公之于众。本次泄露的核心文件是cli.js.map，这个体积高达59.8MB的JSON文件被意外包含在@anthropic-ai/claude-code的2.1.88版本中。问题的根源在于Bun构建工具默认生成source map，而Anthropic的发布团队未在.npmignore文件中添加*.map排除规则。
更令人震惊的是，这个source map文件不仅包含了完整的源代码映射，还直接指向了Anthropic内部使用的Cloudflare R2存储桶URL。这意味着任何获取该文件的人都能下载完整的源码压缩包，相当于在泄露钥匙的同时还提供了保险柜的精确位置。
3. 被曝光的8大创新功能
源码泄露最引人注目的发现，莫过于那些尚未发布的实验性功能。