2026 年 3 月底，Anthropic 在替 Claude Code 推出 2.1.88 版時，犯了一個工程師噩夢級錯誤：把原本只給內部用的除錯檔，一起丟上了公開的 npm 套件。
這個檔案叫「source map」，大小 59.8 MB。照理說，它只應該幫工程師對照「壓縮後程式」和「原始碼」，方便查 bug，不該出現在正式發布版裡。
偏偏這次不但跟著出貨，裡面還藏了一個指向 Anthropic 內部 Cloudflare 儲存空間的連結，只要打開就能直接下載完整原始碼 zip。
簡單說，就是一個打包流程沒檢查好，整個產品的工程藍圖就這樣被攤在網路上。
一個打包疏失，變成「半開源」事件
最早發現的人，是 Solayer Labs 工程師 Chaofan Shou。他在 X 上貼出截圖和連結，提醒大家：Claude Code 的原始碼從 npm 套件的 map 檔「漏出來」了。
很快地，檔案被備份到多個 GitHub 倉庫，全球工程師開始拆解這個年收 25 億美元產品的內部設計。
Anthropic 隨後回應媒體，強調這不是駭客入侵，而是「打包與發布流程的人為疏失」，也重申沒有客戶資料或憑證外洩。
但對產業來說，真正重要的是：我們第一次有機會從程式碼層級，看清楚 Claude Code 這個 AI 代理工具是怎麼設計的。
Claude 怎麼避免「越用越胡扯」？
時間讓 AI 幫忙寫程式、管專案，最大風險之一是：資料累積到一定程度後，AI 的「上下文」會變得又長又亂，開始自己被自己搞糊塗，產生更多幻覺。
原始碼顯示，Anthropic的做法不是把所有歷史對話和檔案通通塞給 Claude，而是用三層記憶系統先「整理房間」：
-
第一層是一份
MEMORY.md索引檔，只存很多條很短的重點句（每條大約 150 字元），會固定載入到 Claude 的「工作記憶」裡。 -
第二層是分散在不同檔案的主題知識，例如專案慣例、常見 bug 類型，需要時再依索引去抓。
-
第三層才是過去對話，但不是整段重播，而是用搜尋把相關片段抽出來。
再加上一個「嚴格寫入紀律」：沒有確認成功的操作、不確定的推測，不能寫進記憶。這些設計的目的很單純：讓 AI 看到的是整理過的重點，而不是一團亂麻的歷史紀錄。
44 個功能開關：被偷看的產品路線圖
更讓外界驚訝的，是工程師在程式碼裡找到 44 個隱藏功能旗標（feature flags），對應至少 20 個還沒公開的功能雛形。幾個比較有畫面感的包括：
-
BUDDY：像電子雞一樣的「AI 小夥伴」，常駐在輸入框旁，用對話泡泡陪你工作。
-
KAIROS（Always‑On Claude）：讓 Claude 變成「常駐助理」，在人不在電腦前時，在背景跑一個叫
autoDream的流程，自動整理記憶、消除矛盾。 -
ULTRAPLAN：名字暗示是更長期、更複雜的任務規劃功能，細節尚未對外說明。
-
多代理人協作（multi‑agent swarms）：讓多個 Claude 分工處理同一個專案，而不是一個 AI 硬撐全場。
-
使用 JWT 的 IDE 橋接器：安全地把本機開發工具接上雲端代理。
這些功能最後會不會真的商用、什麼時候上線還未知，但方向很清楚：Anthropic 想做的，不只是「更聰明的聊天機器人」，而是長期陪跑的工作代理人，以及能跟開發工具深度整合的整套系統。
模型內部代號與「越新不一定越好」
原始碼也側面證實了幾個內部模型代號：Capybara 對應 Claude 4.6 變體，Fennec 對應 Opus 4.6，Numbat 則還在測試中。
有趣的是，註解裡寫到 Capybara v8 的「胡說比例」約 29–30%，反而比 v4 的 16.7% 還高，這提醒了大家：更新模型不等於所有指標都會變好，廠商也在「能力」與「可靠」之間反覆調整。
此外，程式碼裡還有一個「Undercover Mode」（臥底模式），專門用來幫使用者對開源專案送 PR 時，檢查提交訊息，避免不小心把 Anthropic 內部資訊或模型名稱寫進版本紀錄裡，相當於在流程上多加一道「防自己誤洩密」的安全網。
社群 2 小時重寫，供應鏈攻擊一起爆
外洩事件引爆討論後，韓國工程師 Sigrid Jin 乾脆徹夜開工，用 Python 依照公開資訊重寫一版「乾淨室」實作，並以 claw‑code 名義開源到 GitHub。
這個專案在 2 小時內就衝破 5 萬顆星，目前星數逼近 7 萬，fork 超過 7 萬，後續還有人用 Rust 再重寫一版，希望榨出更多效能。
更糟的是，幾乎同一時間，安全社群又發現 axios npm 套件遭到供應鏈攻擊。分析顯示：
如果開發者在 UTC 3 月 31 日 00:21–03:29 之間透過 npm 安裝或更新 Claude Code，很可能連帶拉進含遠端存取木馬（RAT）的惡意 axios 版本（1.14.1 或 0.30.4）。
對這批使用者，目前建議是：
-
立刻檢查
package-lock.json裡是否出現 plain-crypto-js依賴； -
若有，就要把機器當成「已完全被入侵」處理，重新安裝系統、重設憑證與密碼；
-
之後改用官方建議的「原生安裝方式」，避免再被 npm 供應鏈拖累。
為什麼這次事件值得記下來？
對 Anthropic 來說，這是一次昂貴的「工程實習課」：一個疏忽，讓核心產品的系統設計全被攤開給競爭對手與開發者檢視。
對整個產業來說，這次外洩則提供了難得的樣本：
-
大型 AI 代理工具在「記憶」「長期任務」「多代理協作」上，實際是怎麼設計的；
-
頂級團隊如何在「更強」與「更穩」之間取捨；
-
以及，一個小小的打包設定沒處理好，如何同時演變成工程事故及安全事件。
對一般使用者來說，或許不需要看懂每一行 TypeScript，但有一件事很值得記得：AI 工具再強，最後摔倒的地方，往往還是最「工程基本功」的那一層。
資料來源：VentureBeat、GitHub: instructkr/claw-code
本文初稿為AI編撰，整理．編輯/ 先泰
