StyleStar Experimental

[Albert]

3月31日，就在几个小时前，安全研究员 Chaofan Shou 发了一条推文：

Claude code source code has been leaked via a map file in their npm registry!

Anthropic家的编程助手 Claude Code 的完整源代码，因为一个构建流程的配置疏漏，直接“裸奔”了。
简单说就是：​ Anthropic在发布Claude Code的npm包（v2.1.88）时，打包工具（Bun）默认生成的source map调试文件没有被正确排除。这个文件就像一份“地图”，能把压缩后的代码完整映射回原始源码。结果，一个约59.8MB的.map文件，直接把超过1900个文件、51.2万行TypeScript代码全给摊在网上。

这不是黑客攻击，纯属工作人员手滑。​ 而且尴尬的是这已经是第二次了。​ 2025年2月刚发布时就漏过一次，当时修复后，结果2026年3月又用同样的姿势摔了一跤。

能从这“意外开源”里学到什么？
需要明确的是这些代码的版权与使用权限仍归属于Anthropic，但作为开发者，这简直是窥视顶级AI公司工程实践的千载难逢机会，这本身就是一种站在巨人肩膀上的、无可替代的学习。
1.技术栈全曝光：语言/运行时：​ TypeScript + Bun（看来Bun真是他们的心头好）；终端UI：​ React + Ink（用React组件来画命令行界面）；CLI解析：​ Commander.js；校验：​ Zod v4
2.工程架构一览无余：大概40个独立工具模块，每个都有完整的输入输出Schema和权限控制。约50个斜杠命令；完整的Agent协调系统、IDE桥接；大量使用 Feature Flag​ 来控制功能发布，比如 KAIROS、PROACTIVE等
代码里藏了一个叫 BUDDY​ 的功能，看起来是个ASCII风格的电子宠物伴侣，疑似计划作为愚人节彩蛋，结果彩蛋还没发，源码先漏了。
3.价值百万元的教训：永远检查 .npmignore和 package.json的 files字段。