Odaily Planet Daily インフォメーション：ブロックチェーン・セキュリティ企業 Fuzzland のインターン研究員 Chaofan Shou 氏がX上で、Anthropic傘下のAIプログラミングツール Claude Code の npm パッケージに完全な source map ファイル（cli.js.map、約 60MB）が含まれており、そこから TypeScript の全ソースコードを復元できると指摘した。検証の結果、本日公開された最新版 v2.1.88 でも同ファイルが引き続き含まれており、Claude Code 固有のソースファイル 1,906 個の完全なコードが含まれている。内部 API 設計、分析テレメトリ・システム、暗号化ツール、プロセス間通信プロトコルなどの実装詳細までカバーしている。Source map は、JavaScript 開発において圧縮コードを元のソースコードへ対応付けるために使われるデバッグ用ファイルであり、プロダクションの配布パッケージに含まれるべきではない。2025年2月、Claude Code の初期バージョンも同様の問題で過去に暴露されていた。Anthropic は当時 npm から旧バージョンを削除し、source map も削除していた。しかしその問題は後に再び現れ、GitHub 上には復元されたソースコードを抽出・整理した複数の公開リポジトリがすでに存在する。その中でも ghuntley/claude-code-source-code-deobfuscation は約 1000 ものスターを獲得している。漏えいしたのは Claude Code CLI ツールのクライアント実装コードであり、モデルの重みやユーザーデータは関係しないため、一般のユーザーに対して直接的なセキュリティ上のリスクはない。しかし、完全なソースコードが継続的に外部に晒されていることは、内部アーキテクチャ、セキュリティメカニズム、テレメトリのロジックが外部に完全に透明化されていることを意味する。
Claude Code完全ソースコード公開
Odaily Planet Daily インフォメーション：ブロックチェーン・セキュリティ企業 Fuzzland のインターン研究員 Chaofan Shou 氏がX上で、Anthropic傘下のAIプログラミングツール Claude Code の npm パッケージに完全な source map ファイル（cli.js.map、約 60MB）が含まれており、そこから TypeScript の全ソースコードを復元できると指摘した。検証の結果、本日公開された最新版 v2.1.88 でも同ファイルが引き続き含まれており、Claude Code 固有のソースファイル 1,906 個の完全なコードが含まれている。内部 API 設計、分析テレメトリ・システム、暗号化ツール、プロセス間通信プロトコルなどの実装詳細までカバーしている。
Source map は、JavaScript 開発において圧縮コードを元のソースコードへ対応付けるために使われるデバッグ用ファイルであり、プロダクションの配布パッケージに含まれるべきではない。2025年2月、Claude Code の初期バージョンも同様の問題で過去に暴露されていた。Anthropic は当時 npm から旧バージョンを削除し、source map も削除していた。しかしその問題は後に再び現れ、GitHub 上には復元されたソースコードを抽出・整理した複数の公開リポジトリがすでに存在する。その中でも ghuntley/claude-code-source-code-deobfuscation は約 1000 ものスターを獲得している。
漏えいしたのは Claude Code CLI ツールのクライアント実装コードであり、モデルの重みやユーザーデータは関係しないため、一般のユーザーに対して直接的なセキュリティ上のリスクはない。しかし、完全なソースコードが継続的に外部に晒されていることは、内部アーキテクチャ、セキュリティメカニズム、テレメトリのロジックが外部に完全に透明化されていることを意味する。