#ClaudeCode500KCodeLeak

تقرير تسريب مصدر شفرة Claude

في 31 مارس 2026، قامت شركة Anthropic عن غير قصد بإصدار كامل شفرة مصدر Claude Code عبر خطأ في التعبئة على سجل npm. حدث التسريب في الإصدار 2.1.88 وكشف عن حوالي 512,000 سطر من TypeScript عبر 1,906 ملفات.

السياق السوقي
هذه هي المرة الثانية التي تتعرض فيها شركة Anthropic لعملية كشف بيانات كبيرة خلال أسبوع واحد بعد تكوين خاطئ لنظام إدارة المحتوى CMS الذي تسرب تفاصيل حول نموذج قيد التطوير يحمل الاسم الرمزي Capybara. على الرغم من تقييم الشركة بـ 60 مليار دولار، إلا أنها واجهت صعوبات في الحفاظ على معايير الإصدار الأساسية.

السبب الجذري التقني
كان سبب التسريب هو غياب إدخال في ملف .npmignore. قام بيئة Bun بتوليد ملف خريطة مصدر بحجم 60 ميجابايت يحتوي على رابط مباشر لأرشيف zip على حاوية Cloudflare R2. اكتشف الباحث الأمني Chaofan Shou الرابط وتم نسخه أكثر من 40,000 مرة قبل سحب الحزمة.

اكتشافات رئيسية في الشفرة

1 وضع KAIROS المستقل
تحتوي الشفرة على أكثر من 150 إشارة إلى KAIROS، وهو وضع خادم خلفي غير مُصدر بعد. يتيح ذلك لـ Claude العمل بشكل استباقي أثناء غياب المستخدم عن الطرفية.

2 نظام ذاكرة AutoDream
تكشف الشفرة عن بنية ذاكرة ذات ثلاث طبقات. ينفذ الوكيل عملية تسمى autoDream خلال أوقات الفراغ لتجميع السجلات، حل التناقضات، وتعزيز الملاحظات إلى معرفة موثوقة للمشروع في MEMORY.

3 وضع Undercover
يوجد نظام مخفي يوجه الوكيل إلى إزالة جميع علامات تجارية Anthropic ومعرفات الذكاء الاصطناعي من التعديلات على الشفرة. يؤكد ذلك أن شركة Anthropic كانت تستخدم Claude للمساهمة بشكل غير مرئي في مشاريع المصادر المفتوحة بدون نسب.

4 النماذج القادمة
تشير الشفرة صراحة إلى سلاسل إصدارات داخلية غير مُصدرة، بما في ذلك Opus 4.7 و Sonnet 4.8. كما تذكر معدل ادعاءات كاذبة بنسبة 30% للإصدارات المبكرة من نموذج Mythos الجديد.

5 حراس الأمان
تعليمات السلامة مملوكة بشكل فريد لأشخاص معينين يُدعون David Forsythe و Kyla Guru، بدلاً من لجنة عامة. أي تغيير في حدود السلامة يتطلب موافقتهما المباشرة.

تأثير الصناعة
بدأ المطورون بالفعل في نقل نظام الوكيل إلى Python و Rust. بينما تظل أوزان النموذج آمنة، فإن منطق التنسيق — السر وراء أداء Claude العالي — أصبح الآن علنياً. هذا يوفر بشكل فعال كتاب دراسي مجاني للمنافسين حول كيفية بناء وكلاء ذكاء اصطناعي جاهزين للإنتاج.

الحالة الحالية
قامت شركة Anthropic بإلغاء مسار تثبيت npm لصالح المثبتات الأصلية لمنع تسريبات الحزم في المستقبل. لم يتم اختراق بيانات العملاء أو بيانات الاعتماد في هذا الحادث.