Claude Codeの完全なソースコードが流出

ブロックチェーンセキュリティ企業Fuzzlandのインターン研究員であるChaofan Shou氏は、X上で、Anthropic社のAIプログラミングツール「Claude Code」のnpmパッケージに完全なソースマップファイル（cli.js.map、約60MB）が含まれており、そこからTypeScriptのソースコード全体を復元できると指摘した。検証の結果、本日リリースされた最新版 v2.1.88 にも依然としてこのファイルが含まれており、1,906 個の Claude Code 独自のソースファイルの完全なコードが含まれており、内部 API 設計、分析テレメトリシステム、暗号化ツール、プロセス間通信プロトコルなどの実装の詳細が網羅されている。ソースマップは、JavaScript 開発において圧縮されたコードを元のソースコードにマッピングするためのデバッグ用ファイルであり、本番リリースパッケージに含まれてはならないものである。2025年2月、Claude Codeの初期バージョンでも同様の問題が暴露されたことがあり、当時Anthropicはnpmから旧バージョンを削除し、ソースマップを削除していた。しかし、この問題はその後再発し、GitHub上には復元されたソースコードを抽出・整理した公開リポジトリが複数存在しており、その中でもghuntley/claude-code-source-code-deobfuscationは1,000近いスターを獲得している。漏洩したのはClaude Code CLIツールのクライアント実装コードであり、モデルの重みやユーザーデータには関与しておらず、一般ユーザーにとって直接的なセキュリティリスクはない。しかし、完全なソースコードが継続的に公開されていることは、内部アーキテクチャ、セキュリティメカニズム、テレメトリロジックが外部に対して完全に透明化されていることを意味する。