Walaupun kebocoran ini tidak melibatkan berat model bahasa besar (LLM) inti atau data peribadi pengguna yang sensitif, ia secara langsung menembusi rintangan teknikal Anthropic di lapisan "pengaturan agen".

Penulis artikel, sumber: 0x9999in1, ME News

Poin utama

Pada 31 Mac 2026, produk AI Agent utama milik Anthropic, Claude Code, mengalami kebocoran kod sumber yang paling dramatik dalam sejarah perkembangan AI. Sebanyak 512,000 baris kod sumber TypeScript utama terdedah secara langsung di dalam repositori imej npm awam akibat kesilapan konfigurasi pengemasan yang rendah. Kejadian ini bukan serangan APT oleh perompak atau rusuhan sengaja oleh orang dalam, tetapi satu bencana konfigurasi kejuruteraan depan yang biasa.

ME News智库认为，尽管此次泄露未涉及核心的大语言模型（LLM）权重与敏感的用户隐私数据，但它直接刺穿了Anthropic在“智能体编排（Agentic Orchestration）”层的技术壁垒。在当前AI行业中，大模型能力正逐渐趋同，厂商的核心竞争力正在向“Agent框架与工程化落地”转移。Claude Code源码的全面曝光，相当于将行业内最顶级的智能体操作系统设计图纸无偿分发给了所有竞争对手与开发者。这不仅将大幅削弱Anthropic在企业级市场的溢价能力，更将成为推动整个AI Agent赛道底层技术走向标准化的强效催化剂。

Rekap peristiwa: Bagaimana 510,000 baris kod "dibuka sumber dengan satu klik"?

Dalam bidang kejuruteraan perisian, kebocoran paling mematikan sering kali berasal daripada fail konfigurasi yang paling tidak penting. Jalur kebocoran Claude Code ini menunjukkan dengan jelas ruang buta rantai bekalan dalam pembangunan anggun moden.

Pada 31 Mac 2026, penyelidik di Solayer Labs, Chaofan Shou, mendedahkan di platform sosial bahawa pakej npm terkini dari Anthropic @anthropic-ai/claude-code (nombor versi 2.1.88) secara tidak sengaja mengandungi fail cli.js.map berukuran 59.8 MB.

Bagi pembangun JavaScript/TypeScript moden, Source Map (fail pemetaan sumber) adalah alat penting untuk debugging harian. Kerana kod yang dijalankan dalam persekitaran pengeluaran biasanya telah dikaburkan dan dikompres, sekiranya berlaku ralat, maklumat stak akan sukar dibaca seperti teks kuno. Fungsi Source Map ialah untuk memetakan kod yang telah dikompres semula kepada sumber asal yang mempunyai komen dan nama pemboleh ubah yang lengkap. Namun, fail yang sepatutnya dibataskan secara ketat kepada persekitaran pembangunan dan ujian dalaman ini telah dikeluarkan secara terbuka bersama versi pengeluaran.

Kesilapan ini berkait rapat dengan teknologi stack Anthropic. Anthropic sangat bergantung kepada Bun, runtime JavaScript yang baru muncul, di peringkat bawah. Disebabkan Bun secara lalai menghasilkan fail Source Map, dan jurutera yang bertanggungjawab atas pengeluaran gagal mengkonfigurasi .npmignore fail untuk mengecualikan *.map akhiran, akhirnya mengakibatkan rahsia perniagaan dipaketkan dan diunggah secara langsung. Hanya dengan menggunakan alat pemulihan asas, sesiapa sahaja boleh memulihkan fail ini menjadi direktori projek penuh yang mengandungi sekitar 1,900 fail dan lebih daripada 512,000 baris kod TypeScript tulen.

Selepas kejadian berlaku, kod tersebar secara viral di platform sumber terbuka seperti GitHub. Repositori klon asal memperoleh lebih daripada 1,100 Star dan 1,900 Fork dalam masa kurang daripada 12 jam. Walaupun Anthropic segera menarik balik pakej npm yang mengandungi lubang kelemahan dan dengan pantas menggunakan DMCA (Digital Millennium Copyright Act) untuk memaksa GitHub mengenakan larangan "skrin hitam" terhadap repositori yang terlibat, tindakan ini tidak mampu menghentikan penyebaran pantas kod. Ramai pembangun berpindah ke rangkaian terdesentralisasi dan dark web untuk membuat salinan cadangan kod.

(Jadual 1: Ringkasan garis masa dan titik penting dalam insiden kebocoran kod Claude Code v2.1.88)

Analisis Mendalam Terhadap Bocoran Konten: Kartu Teknologi Anthropic

Dari analisis repositori kod yang dipulihkan, ini bukan sekadar kebocoran komponen sampingan yang tidak penting, tetapi pendedahan langsung terhadap mekanisme kerja “otak” Anthropic dalam membina AI Agent perniagaan. Kod menunjukkan dengan jelas bagaimana sistem berubah daripada alat bantu perbualan biasa kepada lapisan pengaturan agen pintar yang sangat autonom dan boleh digabungkan.

Dalam kod besar yang bocor, bahagian paling bernilai komersial ialah lapisan pengaturan sisi klien (Client-side Orchestration Layer). Selama ini, industri telah cuba memecahkan bagaimana Claude mengekalkan konsistensi logik yang sangat tinggi semasa memproses konteks panjang yang kompleks, dan kod sumber memberikan jawapannya. Kod tersebut menunjukkan secara terperinci logik pengaturan server berdasarkan MCP (Model Context Protocol, protokol konteks model) dan arsitektur memori khasnya, mengungkap bagaimana Claude Code secara halus mengendalikan banyak tugas serentak di latar belakang, serta bagaimana ia melakukan peralihan status dan konteks yang lancar antara lebih daripada 40 modul alat binaan.

Kod sumber juga mendedahkan 44 fungsi eksperimen yang belum dibuka sepenuhnya kepada awam atau sedang dalam ujian gray. Yang paling menarik perhatian ialah mekanisme proses kekal bernama “Kairos” dan kerangka kerja latar belakang senyap bernama “Undercover Mode”. Kode-kode ini secara tidak langsung membuktikan bahawa Anthropic cuba menjadikan AI Agent benar-benar terbebas daripada ikatan “soal-jawab sekali sahaja”, bergerak menuju perkembangan sebagai “pekerja digital” yang mampu mengendalikan latar belakang sistem operasi secara berterusan, melaksanakan pemantauan automatik dan pembaikan peringkat sistem.

Selain itu, repositori kod juga mengandungi antaramuka dan logik pengesanan persekitaran yang dihardcode secara besar-besaran untuk model yang belum dilancarkan, “Claude Mythos” (kod dalaman “Capybara”). Bersama-sama dengan insiden beberapa hari yang lalu (26 Mac), di mana Anthropic mengalami kebocoran draf promosi model Mythos akibat kesalahan konfigurasi CMS, kejadian keselamatan berturut-turut ini menunjukkan cabaran serius yang dihadapi unicorn bernilai tinggi ini dalam hal standard kejuruteraan.

Penilaian kesan: Dari pembangun individu hingga ekosistem perniagaan

Dari segi teknikal langsung, kerugian langsung kepada pengguna biasa dan pelanggan perniagaan adalah boleh dikawal. Kerana yang bocor hanyalah kod sumber alat baris arahan klien, ia tidak melibatkan timbangan inti model besar Claude di awan, juga tidak mengandungi sebarang sejarah perbualan pengguna atau kunci API.

However, the impact on long-term business trust is profound. Industry estimates suggest that nearly 80% of Anthropic’s annualized revenue of approximately $2.5 billion heavily relies on enterprise clients who place extreme importance on data security and compliance. A company capable of developing top-tier large models yet unable to properly manage a basic .npmignore configuration file will inevitably raise questions from Wall Street and government procurement agencies worldwide regarding the rigor of its engineering management system. Additionally, the exposure of the underlying interaction logic of the MCP server significantly increases the potential risk of supply chain attacks; advanced attackers may exploit known details of orchestration frameworks to design malicious local environments that bypass the large model’s security guardrails.

Bagi pembangun AI global, kebocoran tak terduga ini jelas menjadi perayaan "kesetaraan teknologi". Selama ini, logik pengaturan AI Agent tingkat tinggi dianggap sebagai rahsia tertinggi oleh syarikat besar di Silicon Valley. Bagaimana membolehkan model besar mengawal sistem tempatan dengan stabil, merekabentuk mekanisme percubaan semula yang elegan, serta pengasingan kebenaran halus, adalah gunung kejuruteraan yang menghalang kemajuan komuniti sumber terbuka.

Pendedahan kod sumber Claude Code setara dengan penghantaran udara "jawapan sempurna" kepada seluruh industri. Seperti projek AI Agent sumber terbuka OpenClaw yang baru-baru ini menarik perhatian komuniti pembangun, pembangun kini mempunyai peluang untuk menguraikan dan menyerap reka bentuk arsitektur Agent perniagaan paling canggih di dunia (seperti mesin keadaan peringkat industri dan corak komunikasi sandbox). Ini akan menarik garis paras kejuruteraan keseluruhan industri dalam masa yang sangat singkat.

(Jadual 2: Perbandingan multidimensi terhadap kematangan teknologi dan tahap kejuruteraan rangka AI Agent)

Gelombang industri: Pedang Damokles di jalur AI Agent

Dalam naratif AI semasa, kerana Hukum Penskalaan model asas semakin menunjukkan kesan pinggir yang berkurang, pengeluar terkemuka telah mengalihkan fokus cerita penilaian mereka ke lapisan aplikasi — iaitu kerangka AI Agent yang mempunyai automatik tinggi. Claude Code pada mulanya merupakan salah satu rintangan utama Anthropic dalam ekosistem pembangun untuk menentang sistem OpenAI.

Analisis ME News menunjukkan bahawa insiden kebocoran ini pada dasarnya menghancurkan keuntungan teknologi eksklusif Anthropic di lapisan pengaturan Agen. Apabila pesaing dan komuniti sumber terbuka mampu membalikkan rekabentuk kejuruteraan Claude yang cemerlang menjadi kemampuan mereka sendiri, pasaran modal terpaksa menilai semula ketahanan sebenar “parit pertahanan” yang berdasarkan “kecekapan kejuruteraan perisian” bukan “kecerdasan model tulen”. “Pembongkaran” kod pengaturan lapisan bawah bermakna persaingan industri akan mempercepat masuk ke peringkat seterusnya yang kejam: membandingkan siapa yang paling pantas menggabungkan rangka Agen yang telah distandardkan ini dengan data dan alur kerja mendalam dalam industri tertentu.

Dari sudut pandang lain, setiap kebocoran kod besar sering menjadi pemacu penubuhan standard teknikal fakta. Integrasi industri mendalam Claude Code dengan MCP (Model Context Protocol) dan cara pengaturan kod yang proaktif telah menetapkan tolok ukur kejuruteraan yang cemerlang untuk interaksi Agen seterusnya. Seiring kod-kod yang bocor ini dikaji, dianalisis, dan diserap oleh pembangun di seluruh dunia secara berterusan, bulan-bulan mendatang pasti akan muncul banyak produk sumber terbuka “serupa Claude” dengan kecekapan kejuruteraan yang serupa. Ini tidak hanya akan mempercepatkan penyebaran alat produktiviti AI kepada usaha kecil dan menengah, tetapi juga akan mendorong dengan kuat seluruh industri AI berubah dengan pantas dari ekosistem yang terpisah “masing-masing berdiri sendiri” kepada ekosistem yang makmur berdasarkan standard interoperabiliti seragam.

Sumber rujukan

1. Borish, D. (2026, Mac 31). Kod Sumber Claude Code Anthropic Bocor — Apa yang Dibeberkan oleh 512K Baris. David Borish Tech Insights.
2. The Economic Times. (2026, Mac 31). Bocoran kod sumber Claude Code: Adakah Anthropic baru sahaja memaparkan rahsia AI, model tersembunyi, dan strategi pengkodean sulitnya kepada dunia?
3. Analis Uttam. (2026, 31 Mac.) The Claude Code Leak: 512,000 Baris TypeScript dan Apa yang Mereka Ungkapkan. Medium.
4. Franzen, C. (2026, Mac 31).Kod sumber Claude Code kelihatan telah bocor: inilah yang kita ketahui. VentureBeat.
5. Securities Times. (2026, Mac 31). 〈Claude Code melebihi 510,000 baris kod sumber bocor〉. Laman Web Securities Times.
6. 36氪. (2026, 31 Mac). 〈Kod Sumber Claude Code Bocor, Juara Seterusnya Dibeberkan Lebih Awal〉.
7. Sina Finance. (2026, 31 Mac). 〈Seluruh rangkaian gila tentang fork! Baru sahaja, kod sumber Claude Code bocor dan dibuka sumber〉.