Anthropic 官方 npm 包中夾帶的 source map 文件，是如何將 Claude Code 的完整源碼暴露在公網之上的？

Question

Accepted Answer

事件緣起

2026年3月31日，區塊鏈安全公司的實習生 Chaofan Shou 發現 Anthropic 官方 npm 包中包含一個 source map 文件，該文件將 Claude Code 的完整源碼暴露在公網上，並在 X 上公開了下載連結，引發開發者社群的廣泛關注。這個事件是 Anthropic 在一周內發生的第二起重大資訊洩露事故，此前他們的一個 CMS 配置錯誤導致近3000個內部文件公開。
技術原因

此次洩露事故的直接原因是 npm 包中錯誤地包含了一個 source map 文件（.map 文件）。這類文件通常用於將壓縮混淆後的生產代碼映射回原始源碼，方便調試。然而，這個 .map 文件包含一個指向 Anthropic 自家 Cloudflare R2 儲存桶中 zip 壓縮包的連結。開發者可以直接下載這個 zip 包，無需任何駭客手段，就能取得 Claude Code 的完整源碼。
後續影響

Anthropic 承認，早在2025年2月就發生過類似的源碼洩露，顯示同樣的錯誤在13個月內發生了兩次。此外，Claude Code 內部有一套名為"Undercover Mode（臥底模式）"的系統，旨在防止內部代號在 git 提交記錄中意外洩露，但最終未能阻止整個源碼被打包進 .map 文件。Anthropic 官方回應稱，沒有用戶數據或憑證被涉及或洩露，並表示正在推進措施以防止此類事件再次發生。

閱讀紀錄

隱藏 →

此記錄會在頁面關閉後消失

Anthropic 官方 npm 包中夾帶的 source map 文件，是如何將 Claude Code 的完整源碼暴露在公網之上的？

Loading

你覺得這篇文章有幫助嗎？

有幫助

沒幫助

回報問題

1

0

0

分享給好友