一、问题：发布包意外包含源码映射文件——内部代码遭泄露 近日——多名开发者发现Anthropic发布的npm软件包@anthropic-ai/claude-code某版本中，意外包含了一个较大的cli.js.map文件；这类source map文件通常会记录编译代码与源代码的映射关系，可能包含源文件路径甚至完整源码。技术人员分析发现，该文件涉及数千个源文件条目，其中大部分是Claude Code的TypeScript/TSX源码，其余为依赖库内容，总行数超过51万行。事件曝光后，对应的代码已多个平台快速传播。 二、原因：发布流程存在疏漏 业内人士分析，此次泄露并非黑客攻击所致，而是发布流程中的失误。在构建和发布过程中，未对产物进行必要审查，导致本应用于调试的source map文件被一并发布。有一点是，这已是Anthropic第二次出现类似问题，反映出其在发布规范、自动化检查等仍需改进。 三、影响：工程细节外泄带来双重风险 泄露内容主要涉及工程实现层面：一是暴露了Claude Code的交互设计、核心逻辑和接口调用方式；二是展示了包括文件操作、命令执行、LSP接入等工具实现细节；三是一些未公开功能也被披露，如"Kairos"进程设计和"Buddy System"组件。安全专家指出，这种源码级泄露既可能降低竞争对手的复刻门槛，也可能让攻击者更容易发现系统弱点。 四、应对：需建立系统性防护措施 目前，相关公司已移除问题文件。但专家认为，单纯下架难以消除已传播的内容。建议企业从制度和工程两上着手：建立发布前的文件审查机制，将敏感文件纳入默认禁发范围；在CI/CD流程中加入自动化扫描；规范第三方依赖管理；同时完善应急响应机制，及时向开发者通报风险。 五、展望：工程能力与安全并重 随着大模型应用进入工程化阶段，工具链、IDE集成等领域的竞争日益激烈。鉴于此，安全合规已成为产品持续发展的基础。企业需要建立覆盖研发到运维的全流程治理体系，才能在竞争中保持优势。
这次事件凸显了软件发布环节的管理挑战。在追求创新和快速交付的同时，基础工具更需要建立规范化的安全流程。只有将安全视为产品能力的核心部分，而非事后的补充，才能在技术发展中保持可持续性。