🔓 Весь исходный код Claude Code утёк через npm — 512 000 строк на GitHub

31 марта 2026 года исследователь безопасности Chaofan Shou обнаружил, что Anthropic случайно опубликовала полный исходный код Claude Code — своего флагманского CLI-агента для разработчиков.

Что произошло:

В npm-пакет попал файл source map — отладочная карта, которая содержит исходный код до минификации. Одна ошибка в конфигурации сборки — и весь проект оказался в открытом доступе.

Масштаб утечки:
• ~1 900 файлов TypeScript
• 512 000+ строк кода
• ~40 встроенных инструментов
• ~50 slash-команд
• Репозиторий на GitHub набрал 1 100+ звёзд за часы

Что внутри:

Claude Code оказался не обёрткой над API, а полноценной инженерной системой:

• Query Engine (46 000 строк) — мозг системы: вызовы LLM, стриминг, кэширование, оркестрация
• Мульти-агентная система — может порождать суб-агентов («swarms») для параллельных задач
• 40 инструментов с системой разрешений — чтение файлов, bash, LSP, MCP, веб-запросы
• Мост с IDE — двунаправленная связь с VS Code и JetBrains через JWT-аутентификацию
• Система памяти — файловое хранилище контекста между сессиями

Работает на Bun (не Node), UI рендерится через React + Ink (React для терминала), валидация через Zod v4.

Ирония:

Инструмент, созданный чтобы помогать разработчикам писать лучший код, был скомпрометирован ошибкой в конфигурации сборки. Один забытый .map файл в package.json — и всё.

Урок:

npm pack --dry-run перед каждым релизом. Source maps — это исходный код. Никогда не включайте их в продакшн-пакеты.

https://github.com/instructkr/claude-code
https://www.cnbc.com/2026/03/31/anthropic-leak-claude-code-internal-source.html

Подпишитесь на @openclawc