区块链安全公司Fuzzland实习研究员Chaofan Shou在X平台披露，Anthropic旗下AI编程工具Claude Code的npm包中包含了完整的source map文件（cli.js.map，约60MB），可从中还原出全部TypeScript源代码。
核心发现
- 最新版本v2.1.88仍包含该文件，内含1906个自有源文件的完整代码。
- 泄露内容涵盖内部API设计、分析遥测系统、加密工具及进程间通信协议等核心实现细节。
背景与影响
- Source map是用于调试的映射文件，不应出现在生产发布包中。
- 2025年2月，Claude Code早期版本曾因同一问题被曝光，Anthropic虽移除旧版本但问题复现。
- GitHub上已有多个公开仓库整理并分享了还原后的源代码。
风险说明
此次泄露的是CLI工具的客户端实现代码，不涉及模型权重或用户数据，对普通用户无直接安全风险。但完整源码的持续暴露，使得其内部架构、安全机制和遥测逻辑对外完全透明。
