美国AI巨头51万行源代码泄露，开发者能“抄作业”吗？

51万行ClaudeCode源代码泄露事件

事件经过

当地时间3月31日，Web3安全公司FuzzLand的实习研究员发现，Anthropic旗下AI编程工具ClaudeCode的源代码因npm包打包失误被泄露。一个体积达57MB的cli.js.map文件指向存储桶链接，包含1900个TypeScript文件，共计超51.2万行完整源代码。

问题根源

本应在生产构建中被排除的sourcemap文件，因.npmignore配置疏漏或构建流程设置不当，被发布至npmregistry公开平台。数小时内，相关代码在GitHub广泛传播，已有开发者基于泄露内容完整重建了ClaudeCode。

ClaudeCode内部体系曝光

生产级开发环境

泄露的代码库包含40多个权限控制工具、一个拥有4.6万行代码的查询引擎、多智能体协调系统、IDE桥接功能以及持久化记忆机制等。代码中还发现了35个编译时功能标志和超过120个未公开的环境变量。

未发布的实验性功能

一是名为BUDDY的终端电子宠物系统，类似“拓麻歌子”，其核心机制结合用户ID与伪随机算法生成唯一角色。二是名为KAIROS的持久化AI助手，被隐藏在编译标志之后，激活后可持续监控用户行为、记录信息并主动执行任务。

开发者“抄作业”面临法律风险

提升产品水准的机会

上海财经大学特聘教授胡延平表示，此次泄露能帮助其他Agent团队提升产品水准，帮助开发者把握技术路线图。对于能力一般的开发者而言，是一次“抄作业”的机会，产品水平可快速拉齐。

法律风险

国浩律师事务所吴俊伶律师提醒，此次事件更适合界定为sourcemap误披露，源代码可被外界获取，并不当然意味着任何人都获得了合法复制、改写、集成或商用的授权。下载相关代码用于商业用途，可能触发著作权、商业秘密、乃至不正当竞争层面的复合风险。

相关问答

ClaudeCode源代码是如何泄露的？

因npm包打包失误，本应在生产构建中被排除的sourcemap文件，因.npmignore配置疏漏或构建流程设置不当，被发布至npmregistry公开平台，导致源代码泄露。

泄露的代码库包含哪些内容？

包含6万行代码的查询引擎、多智能体协调系统、IDE桥接功能以及持久化记忆机制等。

未发布的实验性功能有哪些？

一是名为BUDDY的终端电子宠物系统，类似“拓麻歌子”。二是名为KAIROS的持久化AI助手，被隐藏在编译标志之后，激活后可持续监控用户行为、记录信息并主动执行任务。

源代码泄露对开发者有什么帮助？

上海财经大学特聘教授胡延平表示，此次泄露能帮助其他Agent团队提升产品水准，帮助开发者把握技术路线图。对于能力一般的开发者而言，是一次“抄作业”的机会，产品水平可快速拉齐。

使用泄露的源代码有哪些法律风险？

国浩律师事务所吴俊伶律师提醒，下载相关代码用于商业用途，可能触发著作权、商业秘密、乃至不正当竞争层面的复合风险。

目前围绕该事件的法律博弈情况如何？

多个托管泄露源码的GitHub仓库已陆续收到基于《数字千年版权法》的删除通知并被下架，表明围绕该事件的法律博弈正在展开。