Claude Code 为什么泄露

#Claude Code泄露源码#
一、离谱的泄露:不是被黑,是 “自杀式失误”
1. 怎么泄的?一句话讲清
Claude Code 是通过npm 包发布的 CLI 工具(命令行版),打包时用了 Bun 运行时(Anthropic 2025 年底收购的 JS 运行时)。
Bun 默认开启Source Map(源码映射),会生成.map文件 —— 相当于 “压缩代码 ↔ 原始源码” 的翻译字典,能 100% 还原未压缩、未混淆的 TS 源码。
生产发布时,没在.npmignore里排除.map文件,也没在package.json里正确配置过滤,直接把包含完整sourcesContent的 59.8MB 超大.map文件,打进了公网 npm 包。
安全研究员 Chaofan Shou 下载 npm 包后,顺着.map文件直接拿到了存在 Cloudflare R2 上的完整原始源码。
2. 致命重复:一年前刚泄过一次
2025 年 2 月 Claude Code 刚上线时,就因完全相同的 Source Map 配置错误泄露过源码。时隔一年、代码量膨胀近 10 倍,安全流程、发布校验完全失效,堪称 AI 大厂级 “低级笑话”。
3. 泄露了什么?核心机密全曝光
完整客户端逻辑:51 万行 TS、1900 + 文件,覆盖从 UI 到引擎、工具、安全的全链路。
未发布功能:Multi-Agent 蜂群协作、IDE Bridge(VS/Jetbrains 深度集成)、跨会话持久记忆系统。
技术栈与架构:Bun 运行时、React+Ink 自研终端 UI、4 万行 QueryEngine 核心引擎、40 + 内置工具。
安全与防御:权限审批、沙箱规则、反爬假工具、骂人词汇检测表。
内部彩蛋:未发布模型 “Capybara(水豚)V8”、电子宠物系统。
全部评论

相关推荐

03-25 09:21
已编辑
电子科技大学 管理咨询
每到校招季,我都会收到很多“完美”的简历:985 毕业、GPA 3.9、连续三年的学生会主席。在同学眼里,这是大厂的通行证;但在我这个有 16 年管理经验的面试官老登眼里,这些标签若处理不好,往往藏着巨大的雇佣风险。扎心的真相: 大厂要的不是“三好学生”,而是能解决麻烦的“职业人”。面试官不看“奖状”,看的是“产出比”。过分的标签堆砌,反而会让我们警惕你是否存在“高分低能”的风险。今天,我通过两个真实案例,帮你完成从“学生思维”向“职场思维”的惊险一跳。一、 职场“黑洞”:当名校光环遇上学生思维我带过一个 985 的名校硕士,入职不到三个月,我就想劝退。硬件条件无懈可击,但她表现出一种极其可怕的“封闭感”:独来独往,从不与团队成员一起吃饭。致命伤在于她的“被动反馈”:一份良率分析报告延期了一周,她一直不吭声。直到我当面询问,她才委屈地说:“这个我还没搞懂,还在钻研,我的 Buddy(师傅)没教会我。”那一刻,我看到了典型的“学生思维”四大病灶:封闭沟通(错把“社交”当“干扰”): 认为职场像闭卷考试。她不明白,在大厂,信任(Trust)是协作的润滑剂,拒绝交流本质上是关闭了信息输入。被动反馈(错把“求助”当“无能”): 为了维护优等生的自尊而隐瞒进度。她不明白,在工业环境下,“隐瞒风险”比“技术不行”严重一万倍。归因偏差(错把“Buddy”当“私教”): 认为成⻓是公司的义务,没学会就责怪师傅没教好 。她缺乏 Ownership(所有权意识):你的职场前途,你是第⼀责任⼈,别⼈最多是你的资源。拒绝同步(错把“结果”当“唯一”): 只要在 Deadline 前交差(即使没做成)就⾏。 但经理需要的不是最后⼀刻的“惊喜”或“惊吓”,⽽是过程中持续的、确定性的状态同步。这就是我说的“职场⿊洞”。她不仅⾃⼰不产出,还像⿊洞⼀样吞噬周围⼈的能量,甚⾄⽓得那位 Buddy 灰⼼丧⽓,不久就申请调离了部⻔。二、 真正的“实干家”:哪怕你只是个干事对⽐⼀下,我⾯试过另⼀个同学,他在学⽣会连部级⼲部都没当上,但他讲的⼀个故事却深深打动了我。临近毕业,他发现同学对求职极度迷茫。他没有等学校安排,⽽是主动寻找资源,联系了⼀位在⼤⼚⼯作多年且正在读 MBA 的师兄,为全院策划了⼀场职业规划讲座。在这个故事⾥,我看到了⾯试官最渴望的“职业⽕种”:发现需求: 从混乱中嗅到真正的痛点。整合资源: 不靠行政权力,而是通过“利他价值”说服他人。闭环解决: 讲座落地,问题解决。这就是“职场思维”:没有标准答案,但我会去制造答案。三、 深度复盘:两种思维的底层对齐为了让大家看得更清楚,我总结了这张对比表。你可以对照自查,你到底在哪一层?四、 标签拆解:你引以为傲的,可能正是面试官担心的在面试中,如果你依然抱着下面这两个标签不放,风险极大:标签一:高绩点 (GPA) —— 优秀的“解题者”,平庸的“破局者”面试官顾虑: 你是否习惯了“有考纲”的赛道?面对真实项目中文档缺失、资源匮乏的混沌状态,你是否会习惯性“翻课本”而不是“排查变量”?标签二:学生会头衔 —— 权力的“指挥者”,真空的“领导力”面试官顾虑: 校园社团靠行政指令。但在大厂,当你面对一个资历比你深、且不归你管的技术大拿时,你还能靠“头衔”去推动他吗?五、 实操指南:重构你的简历和故事如果你的简历正踩中“雷区”,请立刻执行这三步优化:去标签化:缩写头衔,把省下的空间写⼀个具体的“发现痛点、整合资源、克服困难、解决问题”的故事。用数据说话: 别写“组织能力强”,写“通过优化 XX 流程,将活动参与率从 10% 提升到 40%”。面试故事重构: 不要说:“我学习刻苦,GPA 全系第⼀。”你要说:“这个 3.9 的 GPA 对我不只是分数,更是胜任⼒证明:它代表我具备在陌⽣领域快速建模、通过实操定位并解决底层瓶颈(Find-Fix-Learn),以及将抽象知识转化为产出价值的职业迁移能⼒。”结语从“学⽣思维”向“职场思维”的转变,是校招突围的先决条件。这篇⽂章帮你解决了“⼊场券” 的问题,但想在⼤⼚⾛得稳、⾛得远,你还需要⼀套深层的战略导航 。下期预告:大厂“三能”: 深度拆解“能做、能说、能相处”的实战细节。我是涛哥,带你避开职场深水坑。我们下期见。
点赞 评论 收藏
分享
评论
2
收藏
分享

创作者周榜

更多
牛客网
牛客网在线编程
牛客网题解
牛客企业服务