Claude Code51万行コード流出と発覚の経緯

　2026年3月31日、アンソロピック社はClaude Codeのバージョン2.1.88をnpmレジストリに公開した。このパッケージアップデートにおいて、本来は除外されるべき約59.8MBのソースマップファイル（.map）が同梱された状態となっていた。

　このソースマップはビルド時に生成されるデバッグ用のファイルであり、これを解析することで難読化される前の元のTypeScriptソースコードを完全に復元することが可能となる。この事態を最初に発見したのはセキュリティ研究者のChaofan Shou氏であり、同氏がSNSのX上でダウンロードリンクを共有したことで瞬く間に全世界へと拡散された。


　事態を受けたアンソロピック社はメディアの取材に対し事実関係を認め、機密性の高い顧客データや認証情報は含まれておらず、セキュリティ侵害ではなく人的ミスによるパッケージングの問題であるとする公式声明を発表した。

　原因としては、Claude Codeのビルドに使用されているBunランタイムがデフォルトでソースマップを生成する仕様であったことと、公開設定において.mapファイルを除外する指定が欠落していたことが挙げられている。なお、同社によるソースマップの混入事故は2025年にも発生しており、今回が二度目の事態となった。