Claude Code código-fonte completo exposto

O relatório diário Odaily Planet informa que o investigador de investigação em estágio na empresa de segurança blockchain Fuzzland, Chaofan Shou, indicou no X que o pacote npm da ferramenta de programação com IA Claude Code, da Anthropic, inclui ficheiros source map completos (cli.js.map, cerca de 60MB), a partir dos quais é possível reconstruir todo o código-fonte TypeScript. Após verificação, a versão mais recente v2.1.88 publicada hoje ainda contém esse ficheiro, que inclui o código completo de 1.906 ficheiros de origem próprios do Claude Code, abrangendo detalhes de implementação como o desenho das APIs internas, o sistema de telemetria de análise, ferramentas de encriptação, protocolos de comunicação entre processos, entre outros.

O source map é um ficheiro de depuração utilizado no desenvolvimento em JavaScript para mapear o código comprimido de volta para o código-fonte original, e não deve aparecer nos pacotes de produção. Em fevereiro de 2025, uma versão inicial do Claude Code já tinha sido exposta por causa do mesmo problema; nessa altura, a Anthropic removeu a versão antiga do npm e eliminou o source map. Mas este problema voltou a surgir mais tarde e, no GitHub, já existem vários repositórios públicos que extraíram e organizaram o código-fonte reconstruído; entre eles, ghuntley/claude-code-source-code-deobfuscation obteve perto de mil estrelas.

O que foi divulgado é o código de implementação do lado do cliente da ferramenta CLI do Claude Code, não envolvendo pesos do modelo nem dados do utilizador, pelo que não há um risco de segurança direto para utilizadores comuns. No entanto, a exposição contínua do código-fonte completo significa que a arquitetura interna, os mecanismos de segurança e a lógica de telemetria estão totalmente transparentes para o exterior.