Fuga del paquete npm del código fuente completo de la herramienta de programación con IA Claude Code de Anthropic

Noticias de Gate News: el 31 de marzo, el investigador becario de seguridad blockchain de Fuzzland, Chaofan Shou, señaló en X que el paquete npm de la herramienta de programación con IA Claude Code, de Anthropic, contiene archivos completos de source map (cli.js.map, de ~60MB), a partir de los cuales se puede reconstruir todo el código fuente de TypeScript. Tras la verificación, la última versión v2.1.88 publicada hoy aún incluye ese archivo; contiene el código completo de 1,906 archivos fuente propios de Claude Code, e incluye detalles de implementación como el diseño de API internas, el sistema de telemetría de análisis, herramientas criptográficas y protocolos de comunicación entre procesos. Un source map es un archivo de depuración en el desarrollo de JavaScript que se usa para mapear el código comprimido de vuelta al código fuente original; no debería aparecer en los paquetes de lanzamiento de producción. En febrero de 2025, una versión temprana de Claude Code ya fue expuesta por el mismo problema; en ese momento, Anthropic eliminó la versión anterior desde npm y borró el source map, pero el problema reapareció más tarde. En GitHub ya hay varios repositorios públicos que extraen y organizan el código fuente reconstruido; entre ellos, ghuntley/claude-code-source-code-deobfuscation obtuvo casi mil estrellas. Lo filtrado es el código de implementación del lado del cliente de la herramienta CLI de Claude Code; no involucra pesos del modelo ni datos de usuarios, por lo que no representa un riesgo de seguridad directo para usuarios comunes. Sin embargo, la exposición continua del código fuente completo significa que la arquitectura interna, los mecanismos de seguridad y la lógica de telemetría quedan completamente transparentes para el exterior.