Утечка исходного кода Anthropic Claude Code раскрывает инструменты для автономных агентов и невыпущенные модели

Компания Anthropic случайно опубликовала полный исходный код Claude Code после того, как файл source map был неправильно настроен и загружен на npm, предоставив редкий взгляд на один из самых важных коммерческих продуктов компании.

Файл, включенный в версию 2.1.88, содержал почти 60 мегабайт внутренних материалов, включая около 512 000 строк кода на TypeScript, разделенных на 1906 файлов. Инженер-программист, стажер в Solayer Labs, Чаофан Шоу, первым обнаружил утечку, которая быстро распространилась в X и GitHub, когда разработчики начали изучать исходный код.

Раскрытие показало, как Anthropic создала Claude Code для поддержания продуктивности во время длительных сеансов кодирования. Одним из наиболее очевидных открытий была трехслойная система памяти, основанная на небольшом файле MEMORY.md, который хранит только короткие ссылки, а не полную информацию. Более подробные заметки о проекте сохраняются отдельно и загружаются только при необходимости, а история предыдущих сеансов просматривается выборочно, а не загружается целиком. Код также указывает системе проверять свою память на соответствие фактическому коду перед выполнением каких-либо действий, что является конструкцией, предназначенной для снижения ошибок и ложных предположений.

Исходный код также указывает на то, что Anthropic разрабатывает более автономную версию Claude Code, чем та, которую пользователи видят в настоящее время. Функция, неоднократно упоминаемая под названием KAIROS, описывает режим демона, в котором агент может продолжать работу в фоновом режиме, а не ждать прямых команд.

Другой процесс, называемый autoDream, по-видимому, отвечает за консолидацию памяти в периоды простоя, устраняя противоречия и преобразуя предварительные наблюдения в проверенные факты. Разработчики, изучавшие код, также обнаружили десятки скрытых флагов функций, включая ссылки на автоматизацию браузера с помощью Playwright.

Утечка также раскрыла внутренние названия моделей и данные о производительности. Согласно исходному коду, Capybara относится к варианту Claude 4.6, Fennec соответствует выпуску Opus 4.6, а Numbat находится на стадии предварительного тестирования.

Внутренние тесты, упомянутые в коде, показали, что последняя версия Capybara имеет показатель ложных утверждений от 29% до 30%, что выше, чем 16,7% в предыдущей итерации. Исходный код также ссылается на счетчик "агрессивности", предназначенный для предотвращения чрезмерной активности модели при рефакторинге кода пользователя.

Одним из наиболее чувствительных раскрытий была функция, описанная как "Режим скрытности" (Undercover Mode). Восстановленный системный запрос предполагает, что Claude Code может использоваться для внесения вклада в общедоступные репозитории с открытым исходным кодом, не раскрывая, что в этом участвует ИИ. Инструкции конкретно указывают модели избегать раскрытия внутренних идентификаторов, включая внутренние названия Anthropic, в сообщениях о фиксациях или в общедоступных журналах git.

Утекшие материалы также раскрыли систему управления доступом компании Anthropic, логику оркестровки для многоагентных рабочих процессов, системы проверки на основе bash и архитектуру сервера MCP, предоставив конкурентам подробную информацию о том, как работает Claude Code. Эта утечка также может предоставить злоумышленникам более четкое представление о том, как создавать репозитории, предназначенные для эксплуатации модели доверия агента. В приведенном тексте говорится, что один разработчик уже начал переписывать части системы на Python и Rust под названием Claw Code в течение нескольких часов после утечки.

Этот инцидент совпал с отдельной атакой на цепочку поставок, включавшей вредоносные версии пакета axios npm, распространявшиеся 31 марта. Разработчики, которые установили или обновили Claude Code через npm в этот период, также могли загрузить скомпрометированную зависимость, которая, как сообщается, содержала удаленный троян. Специалисты по безопасности призвали пользователей проверить свои файлы блокировки, сменить учетные данные и, в некоторых случаях, рассмотреть возможность полной переустановки операционной системы на затронутых машинах.

Этот инцидент является вторым известным случаем за последние тринадцать месяцев, когда компания Anthropic раскрыла конфиденциальные внутренние технические детали, после аналогичного эпизода в феврале 2025 года, связанного с информацией о невыпущенных моделях.

После последнего инцидента компания Anthropic определила автономный двоичный установщик в качестве предпочтительного метода установки Claude Code, поскольку он обходит цепочку зависимостей npm. Пользователям, которые продолжают использовать npm, было рекомендовано зафиксировать версии, прошедшие проверку и выпущенные до скомпрометированного пакета.