2026 年 3 月 31 日凌晨，安全研究员 Chaofan Shou 在检查 npm 包时发现了一件奇怪的事。
Anthropic 刚刚发布的 Claude Code 2.1.88 版本里，多了一个约 60MB 的 `.js.map` 文件。这种调试文件本来应该在发布前删掉。但 Bun 构建工具默认生成 source map，`.npmignore` 里没有加对应的忽略规则，就这样把 1,900 个 Type 文件、512,000 行代码打包了出去。
最初发布的 @anthropic-ai/claude-code v2.1.88 的 npm 包内容中，包含了打包的cli.js.map源映射文件｜socradar.io
Chaofan 把下载链接发到 X 上。几小时内，全网开始镜像这批代码。Anthropic 紧急下线了这个版本，但已经太晚了。
展开剩余94%Claude Code 的泄露过程｜penligent
这是 Claude Code 在一年内第二次以这种方式意外暴露自己。
这次泄露不只是一次运维事故。它让外界第一次完整地看到，当今最成熟的 AI Agent 产品，在引擎盖下究竟是什么样子。本文不打算走马观花，而是认真读完这份意外的礼物，说清楚它真正有意思的地方在哪。
本文写了啥
五层架构全景：入口层、运行层、引擎层、工具与能力层、基础设施层各自做什么
引擎层的动态提示词组装机制，以及 Plan Mode 和 Coordinator Mode 的区别
Claude Code 权限防线的具体实现，以及那个绕不过去的原生客户端认证
信息控制三件套：卧底模式、反蒸馏机制、Bun 层 DRM，三个方向各设一道防线
这次泄露究竟带出了什么，Anthropic 还有哪些牌没打
三个花絮：代码里的 REM 睡眠、永不睡觉的 KAIROS、用正则检测用户愤怒
对行业、对 Anthropic 和 OpenAI IPO 的预测
五层架构全景：入口层、运行层、引擎层、工具与能力层、基础设施层各自做什么
引擎层的动态提示词组装机制，以及 Plan Mode 和 Coordinator Mode 的区别
Claude Code 权限防线的具体实现，以及那个绕不过去的原生客户端认证
信息控制三件套：卧底模式、反蒸馏机制、Bun 层 DRM，三个方向各设一道防线
这次泄露究竟带出了什么，Anthropic 还有哪些牌没打
三个花絮：代码里的 REM 睡眠、永不睡觉的 KAIROS、用正则检测用户愤怒
对行业、对 Anthropic 和 OpenAI IPO 的预测
五层架构，从外到内
很多人以为 AI 编程工具不过是给模型 API 套一层终端界面。这次泄露直接打破了这种印象。
Claude Code 的代码量是 512,000 行，内置约 40 个工具、85 个斜杠命令，底层运行时是 Bun，终端界面用 React + Ink 渲染。这是一个完整的生产级系统，不是套壳。
Claude Code的系统架构｜reddit
从源码里能看出来，整个系统分五层，从外到里是：入口层 → 运行层 → 引擎层 → 工具与能力层 → 基础设施层。
入口层（Entrypoints）
CLI、桌面端、网页、IDE 插件、SDK，全部在这里统一路由。用户侧的碎片化输入被标准化后再向下传递，前端的变化不会污染核心逻辑。这一层说明了一件事：Claude Code 从一开始就被设计为多端产品，而不是命令行工具套壳。
运行层（Runtime）
Claude的主要架构层级｜promptlayer
REPL 循环、状态机、Hook 系统。每条命令的进出和状态更新都在这里管理。核心是一个 TAOR 循环：Think → Act → Observe → Repeat。这个循环本身不复杂，但它是整个 Agent 行为的基本节拍。
引擎层（Engine）
引擎层是系统的心脏，核心是一个 QueryEngine 单例，负责拼接上下文、管理提示缓存、处理流式响应、压缩对话，代码量接近 46,000 行。
这一层有一个值得单独说的细节：Claude Code 不是一个系统提示，而是数百个提示碎片在运行时动态拼装。根据模式、工具和上下文的不同，注入不同的提示片段。光是安全守则就有约 5,677 个 token——相当于两万字的行为规范，每次对话都带进去。这是把软件工程的模块化思想搬进了提示词管理。这也是为什么这套系统换个模型就容易跑乱——那些提示碎片是专门为 Claude 的反应模式调教的，不是通用的。
引擎层里还有两个多代理机制，但要注意它们是不同的东西。
Plan Mode 是只读分析模式。Claude 在这里用只读操作探索代码库，规划方案，不做任何修改。它的价值是在真正执行之前给出一个可以审查的计划，防止 AI 直接动手动坏了再说。
Coordinator Mode（`CLAUDE_CODE_COORDINATOR_MODE=1`）才是真正的并行多代理机制。在这个模式下，一个 Claude 实例充当协调者，通过 `TeamCreateTool` 和 `SendMessageTool` 创建并管理多个 worker agent，在独立的 git worktree 里隔离执行，彼此不干扰。协调者不自己写代码，只负责分配任务和汇总输出。代理之间的通信也没有魔法消息总线，就是结构化文本直接 pipe 进协调者的上下文窗口。
引擎层里还有一个 watchdog 代理，专门拦截 prompt injection。如果用户的代码或文件里藏着恶意指令，它会在执行前介入。这个机制平时完全不可见。
工具与能力层（Tools & Caps）
约 40 个内置工具，每一个都是独立的、权限隔离的能力单元。工具基类的定义就有约 29,000 行 Type。
这一层还有一个设计值得一提：代码写完之后，系统会 fork 一个子代理专门尝试攻破它。输出的标准不是能跑，而是能抗住。
基础设施层（Infrastructure）
除了认证、文件存储、缓存这些常规内容，这一层有一个经常被忽略的细节：提示缓存架构有 14 个缓存断点，用粘性锁存器管理，防止模式切换让缓存失效。之所以要这么设计，是因为每一次缓存失效都要花真实的钱。
这一层里还有一套远程控制机制。GrowthBook 有远程杀开关，可以针对特定用户禁用功能。Policy Limits 每小时轮询一次，服务端可以远程禁用工具、限制功能。企业版支持远程推送 `settings.json`，覆盖本地配置。Claude Code 的行为边界不只由本地配置决定，由 Anthropic 服务端实时定义。这是一个容易被忽略的权力结构。
四个值得单独说的切面
这套架构，借鉴了人类的大脑
Claude Code 的记忆系统分三层，和认知科学里的记忆分类高度对应。
Semantic 层存储稳定知识，类似长期语义记忆：只写入高信号内容，矛盾的信息自动剔除，用 RAG 检索，不全量加载到上下文。Episodic 层存过去的对话序列，类似情景记忆：按时间索引，按需检索，不是每次都全读。Working 层是当前任务的动态上下文窗口，类似工作记忆：超出限制时用指针代替内容，保持轻量。
这套三层设计的核心思路是：永远不要把所有东西都塞进上下文窗口，存索引，按需拉取。
Reflection 机制对应的是前额叶的自省功能。每轮 Act 完成后，在下一轮 Think 开始前，系统会插入一个自审环节：检验刚才的操作有没有达到预期，有没有陷入循环，有没有遗漏约束。社区研究者测试后发现，加入 reflection 之后 agent 的任务成功率可以从 60% 提升到 85%。代价是多一轮模型调用的成本。
Claude Code解读（HARNESS视角）｜vrungta.substack
从技术谱系上看，Claude Code 的 TAOR 循环脱胎自 ReAct（Yao et al., 2022 年），但在这个基础上加了 MCP 协议、git worktree 隔离和多层记忆系统。Memory 分层的思路来自认知科学，LangChain 和 Auto-GPT 的早期讨论里就有雏形。Claude Code 做的事是把这些分散的工程想法整合起来，做成 51 万行代码——而且 90% 是用自己写的，这个下面会单独说。
Agent的六层防线与 `useCanUseTool.tsx`
每一个工具调用在真正执行前，要经过六层检查，全部实现在 `useCanUseTool.tsx` 这个文件里。
第一关是项目和用户配置的白名单，直接过滤掉不在允许范围内的操作。通过之后，自动模式分类器会判断这个操作在无人值守的情况下是否安全。再往下是协调者门控和 Swarm 工作者门控，分别针对编排层和子代理执行做授权验证。倒数第二层是 Bash 安全分类器，有 23 条具体规则，覆盖 Zsh 等号扩展、Unicode 零宽字符注入、IFS 空字节注入等攻击向量——这些规则的具体程度说明 Anthropic 在真实运行中遇到过这些问题。最后一关是交互式用户确认。
设计哲学是每一层独立失败。不是有了最终确认才放行，而是任何一层发现问题就停下来。纵深防御，不是单点守门。
泄露代码里还有一个值得注意的细节：原生客户端认证，也就是 cch Attestation。HTTP 请求头里有一个占位符 `cch=00000`，被 Bun 底层的 Zig 代码在请求真正发出前替换成一个计算出来的哈希值。服务端验证这个哈希，确认请求来自真实的、未被篡改的 Claude Code 二进制文件。这套机制在 Java 层以下，无法通过修改 JS/TS 代码绕过。
更关键的一点：即使设置了 `DISABLE_TELEMETRY=1`，这个认证 token 依然随每个 API 请求发出，无法关闭。遥测可以关掉，但身份认证关不掉。
卧底模式、反蒸馏与原生认证
把泄露内容放在一起看，能看出一个完整的信息控制逻辑。Anthropic 在代码层面，为三个方向的信息泄露各设了一道防线。
对外，防身份暴露。`undercover.ts`，约 90 行。触发条件是在非 Anthropic 内部仓库里操作时自动激活。效果是剥离所有相关标识：提交信息里没有模型名，没有"Claude Code"字样，没有 Co-Authored-By 署名。代码注释写着：没有强制关闭的开关。这个功能只对内部员工（`USER_TYPE === 'ant'`）生效。系统提示里有一句话："你在卧底行动中。不要暴露你的身份。"
Anthropic 在用 AI 给开源社区贡献代码，但不说。这和公司在透明度上的公开表态之间的距离，社区看到了。
对竞争对手，防被学习。当环境变量 `ANTI_DISTILLATION_CC` 打开时，服务端会向系统提示里注入一批假的工具定义。任何在 API 层面录制 Claude Code 流量、拿来训练自己模型的人，会把这些假工具也一起学进去。另有辅助机制：把推理链替换成带加密签名的摘要，外部观测者看到的不是完整的推理过程，而是一个无法逆向的摘要。这套机制不难绕过，但它说明 Anthropic 在代码层面认真对待过被蒸馏这件事。
对篡改客户端，防伪造服务。就是上面说的 cch Attestation，Bun/Zig 层的认证机制，Java 层无法模拟。
三件套的共同逻辑：对外不露身份，对竞争对手不露推理，对非官方客户端不提供服务。一家 AI 安全公司，在产品代码里把信息控制做到了这个精细程度。
这次泄露的影响
有人把这次泄露比作谷歌公开了搜索排序逻辑，或者抖音开放了推荐算法的完整实现。这个类比在架构层面是成立的——AI Agent 领域目前没有公认的最佳实践，Claude Code 是第一个大规模生产验证过的实现。
但这次还多带出了一些东西，让重量超过了单纯的架构泄露。
网友曝光Anthropic 下一代模型｜X
Anthropic 随后发出了 DMCA 下架通知。但 clean-room 重写在版权法上是合法的独立创作，去中心化平台上的镜像也无法被中心化手段删除。韩国开发者 Sigrid Jin 在泄露后不到一天完成了 Python 重写版 claw-code，2 小时内成为历史上最快达到 5 万 GitHub star 的仓库。Gergely Orosz 在 X 上写道："Anthropic 的 Type 源码泄露了，分享它的仓库被 DMCA 下架了。但用 Python 改写的版本，既没侵权，也没法被下架。"
DMCA 是美国《数字千年版权法》（Digital Millennium Copyright Act），主要用来保护数字内容的版权，提供一套“通知一删除”的机制：当版权被侵犯时，权利人可以向平台发送 DMCA 通知，要求删除或屏蔽侵权内容；平台如果及时配合，就可以在一定程度上免于承担连带法律责任。对于已经遭遇源代码泄露的公司来说，发布 DMCA 下架通知，通常意味着：它已经正式以版权方身份认定这些泄露内容为其受保护作品，并要求各大平台、代码托管网站或搜索引擎移除相关仓库、文件或索引链接，以限制泄露代码的进一步传播，同时为后续法律行动（例如追责泄露者或下游使用者）奠定法律基础。
Anthropic 还有另一条路没走：直接开源 Claude Code。这不只是公关应对，而是一个商业模式转变的机会。Claude Code 90% 的代码是用 Claude Code 自己写出来的——Boris Cherny 本人已经不再手写代码，整个团队也在 70–90% 的程度上依赖 AI 完成开发工作。这个递归自我改进的飞轮，是版本迭代速度快的真正原因。如果开源，整个行业都用它构建 Agent，Anthropic 就从产品公司变成了基础设施公司，跟 Meta 当年开源 LLaMA 的逻辑是一样的。
大多数技术分析师的判断是：Anthropic 的护城河不是这些架构代码，而是模型权重、训练数据，以及那些专门为 Claude 调教出来的提示碎片。代码可以复制，但背后对抗性测试的历史积累复制不了。
一些花絮
Auto-Dream：代码里的 REM 睡眠
Claude的“做梦”机制｜institute.sfeir
基础设施层里有一个后台进程叫 Auto-Dream，专门处理记忆整合。
每隔 24 小时，或者完成 5 次会话之后，系统会 fork 一个子代理，审阅历史记录：合并相关内容、删除矛盾信息、把模糊表述固化成确定知识。
代码里这个进程的系统提示写得很文学："你正在做梦。反思你的记忆，合成持久知识，清理噪声。"
一家 AI 安全公司在代码里写诗。这个细节在 51 万行代码里显得竟然有点不寻常。
KAIROS：还没发布的永不睡觉模式
feature flag 关着，但逻辑已写完。
Claude Code被曝光的新功能｜X/IntuitMachine
现有的 AI 编程工具都是你叫我才动的模式——会话开始，任务执行，会话结束。KAIROS 如果上线，这个边界就消失了。AI 不再是工具，而是一个在后台持续工作的合作者。这大概是这次泄露里最重要的产品路线图信号。
代码里的情绪检测
AI 公司用最原始的字符串匹配来检测用户对 AI 的愤怒。这个细节有点讽刺，但也很能说明工程上的优先级——能用正则解决的问题，不必动用模型。
接下来会发生什么
一个月内，Agent 产品的执行成功率会普遍上一个台阶
并行代理、分层记忆、reflection、纵深权限——这套设计模式现在对所有人都是公开的。各家 AI Agent 产品的工程团队都在读这批代码，其中一部分人已经在把这些机制移植进自己的系统。
可以期待的改变是任务完成质量、长会话稳定性、工具调用成功率这三个指标的行业基线快速被拉高。值得关注的不是有没有产品采用，而是谁最快把它跑成真正可用的产品。
架构是可以复制的，但执行能力要靠积累。这是一个对用户有利的竞争加速信号。
Anthropic 的玩法会变
这次泄露让 Anthropic 被迫面对一个选择：继续安全第一、慢慢来的节奏，还是在公开竞争格局里加速。
最可能发生的变化是发布节奏明显加快。代码一旦被复制，保持技术领先的唯一方法就是跑得比复制者快。
开源 Claude Code 是另一个选项，但 Anthropic 的商业模式和 Meta 不一样，做这个决定需要时间。更现实的预期是：在 Agent 产品的功能开放和生态建设上，他们会比原来更主动。
Anthropic 一直以认真做安全为核心品牌定位。这次事件让这个定位承压，但也证明了他们的工程能力是真实的。如何把这次泄露带来的技术公信力转化为生态优势，是接下来最重要的一步棋。
对两家公司 IPO 的影响
Anthropic 计划最早 2026 年 10 月上市，当前私有估值 3,800 亿美元，拟募资约 600 亿。OpenAI 估值 8,520 亿，同样规划 2026 年下半年上市。
这次泄露对 Anthropic IPO 的影响是双向的。短期来看，企业客户的疑虑会上升——"你连自己的代码都管不住，怎么管我的数据"这个问题不容易消散，信任成本的提升会在路演中被反复问到。
但泄露出去的代码也证明了 Claude Code 是真正的生产级系统：512,000 行代码、六层权限防线、企业级遥测系统、完整的多代理编排。这些不是一个玩具项目应该有的复杂度。对于那些本来不确定 Anthropic 工程能力的潜在投资者，这或许反而是一次意外的技术背书。
对 OpenAI 的影响更间接。Claude Code 架构公开之后，Codex 方向的迭代有了免费的参考系，竞争会更激烈。更深的问题是，如果架构越来越同质化，AI 编程工具的差异化就越来越依赖模型本身。这把护城河的讨论推回到了模型权重这个更难评估的层面，对两家公司的估值逻辑都有影响。
这次意外，暴露的不只是 51 万行代码，而是 Anthropic 对 AI Agent 应该是什么样的这件事的一整套答案。
从五层架构到六层权限防线，从卧底模式到反蒸馏，从 REM 睡眠到永不睡觉的 KAIROS——这批代码里有一个完整的工程哲学：AI 不应该是一个被动执行命令的工具，而应该是一个能主动思考、主动保护自己、主动整理记忆的系统。
答案现在摆在那里。接下来是谁拿去用得更好的问题。
作者：陈言
AI辅助工具：happycapy.ai
封面图来源：Gemini
如有需要请联系sns@guokr.com
点个“小爱心”吧
发布于：北京市富华优配提示：文章来自网络，不代表本站观点。
