Claude Code 51.2万行源码泄露与KAIROS主动Agent计划全解析

主要信源：https://36kr.com/p/3746770616627968 / https://36kr.com/p/3747613304193796 / https://36kr.com/p/3747744079577857 交叉验证：https://read.engineerscodex.com/p/diving-into-claude-codes-source-code / https://alex000kim.com/posts/2026-03-31-claude-code-source-leak/ / https://venturebeat.com/technology/claude-codes-source-code-appears-to-have-leaked-heres-what-we-know 社区资源：https://ccunpacked.dev/ (可视化架构指南，Hacker News #1，902 points) 事件日期：2026-03-31

速查卡

事件全貌

泄露机制：一个 .npmignore 条目的缺失

2026年3月31日，Anthropic 将 Claude Code v2.1.88 更新推送至 npm 公共注册表。这次发布中，一个 59.8 MB 的 cli.js.map 文件被一同上传。

关键技术细节：这不是普通的 Source Map。通常 .map 文件只包含符号映射和路径索引，用于调试时将压缩后的代码映射回原始代码行号。但 Anthropic 的 .map 文件包含了 sourcesContent 字段——即完整的、可直接重建的原始 TypeScript 源码。

根因分析：Anthropic 使用 Bun 作为运行时和打包工具。Bun 存在一个已知问题（oven-sh/bun#28001）：即使在生产模式下，Source Map 也会被默认包含在构建产物中。Anthropic 的 .npmignore 文件中缺少 *.map 的排除规则，导致整个文件被上传至公共仓库。

用36氪的话说：“你只需要下载官方包就能还原源码”——这不是黑客攻击，这是基本的包管理卫生失败。

时间线

泄露规模

技术深度解析

一、源码架构总览

Claude Code 的架构远不止一个”终端聊天机器人”。源码揭示了一个多层、模块化的 Agent 系统：

核心层：

• QueryEngine.ts（近5万行）：推理核心，负责 Chain-of-Thought 调度
• Tool System：40+ 工具模块，覆盖文件读写、Bash 执行、子 Agent 生成
• Multi-Agent Scheduler：多 Agent 协调器，支持并行 Agent 实例
• IDE Bridge：IDE 桥接模块，实现与 VS Code 等编辑器的集成

隐藏的代码质量问题：

• print.ts 包含 5,594 行代码，其中单个函数跨越 3,167 行、12层嵌套、极高的圈复杂度
• 187 个不同的 spinner 动词变体（UI反馈文本）
• 面向 LLM 编写的注释风格——为 AI Agent 可读性优化，而非人类开发者

二、六大核心工程优势

从源码中提取的六项关键工程技术，代表了当前 AI Agent 工程的最高水准：

1. 上下文动态加载（Context Loading）

每一轮查询都会重新加载完整的仓库上下文：git 分支、最近提交、CLAUDE.md 文件。这种”始终新鲜”的设计确保 Agent 感知的是仓库的实时状态，而非过时的缓存。

代码搜索不使用向量数据库，而是直接调用 grep 和 ripgrep——这在 AI 编程工具中是反直觉的选择，但在实践中证明了更高的精确率和可控性。

2. Prompt 缓存经济学（Prompt Caching）

系统追踪 14 种缓存失效向量，使用”粘性锁存”（sticky latches）防止模式切换导致缓存失效。

系统提示被分为静态和动态两部分，通过 SYSTEM_PROMPT_DYNAMIC_BOUNDARY 标记分割。静态部分跨会话缓存复用，显著降低每轮 token 成本。

标注为 DANGEROUS_uncachedSystemPromptSection() 的函数会破坏缓存——这个命名本身就是工程纪律的体现：修改这类代码的工程师会被迫意识到计费影响。

3. 工具系统设计（Tooling Architecture）

40+ 工具模块形成了一个结构化的工具层。不是简单地把 shell 命令暴露给 LLM，而是为每个操作提供专用工具：

• 专用 grep/glob 工具：返回结构化搜索结果，而非原始终端输出
• LSP 工具：支持调用层级、符号定义和引用查询
• 反蒸馏机制：在系统提示中注入虚假工具定义，毒化竞争对手的训练数据（详见安全架构章节）

4. 上下文压缩（Compression）

五种上下文紧凑策略应对 token 窗口溢出。九段式上下文压缩结构在 token 阈值触发时激活，同时保留关键逻辑链。

值得注意的是，源码中有一条内部注释揭示了效率问题：“1,279 个会话出现 50 次以上连续压缩失败（最多达 3,272 次），全球每天浪费约 25 万次 API 调用。“修复方案仅需一行：MAX_CONSECUTIVE_AUTOCOMPACT_FAILURES = 3。

5. 三层记忆架构（Memory System）

Claude Code 的记忆系统采用三层索引结构，设计哲学是”不记录代码，只记录人”：

记忆纪律：先写主题文件，再更新索引；不在索引中存储原始内容；可从代码库直接推导的事实不予存储。记忆分离用户偏好和代码事实——这是防止幻觉的关键设计。

6. 多 Agent 并行化（Parallelization）

三种子 Agent 执行模式：

多 Agent 协调模式支持并行独立 Agent 实例，宣称可带来 3 倍效率提升。协调不依赖命令式代码，而是通过系统提示驱动——包含诸如”不要橡皮图章式批准薄弱工作”和”绝不将理解力移交给其他工作者”等指令。

三、八大隐藏功能

源码中发现的 8 大未发布功能，揭示了 Anthropic 的产品路线图：

Buddy 彩蛋细节：buddy/companion.ts 中实现了一个完整的 Tamagotchi 风格 ASCII 终端宠物系统。物种名称使用 String.fromCharCode() 编码以逃避 grep 扫描，RPG 属性也被刻意混淆。原计划在愚人节（4月1日）上线。

Undercover 模式细节：undercover.ts（90行）实现了单向元数据抑制。在外部仓库操作时，自动剥离内部代号（Capybara、Tengu）、Slack 频道名称、仓库名称，甚至”Claude Code”字样本身。关键设计——没有强制关闭选项，在外部构建中被死代码消除，形成单向门机制。

四、六级安全架构

原生客户端验证（DRM层）：API 请求包含占位值 cch=ed1b0，Bun 的原生 HTTP 栈（Zig 编写）在传输前将其覆写为计算哈希值。服务端验证此哈希以加密确认请求来自正版 Claude Code 二进制文件。JavaScript 层可在运行时修补，但编译的 Zig 代码需要源码重编译才能覆盖——显著提高了第三方仿冒难度。

但安全研究者指出其局限性：设置 CLAUDE_CODE_ATTRIBUTION_HEADER 为 falsy 即可通过 GrowthBook 功能开关 tengu_attribution_header 远程禁用此机制；在非官方 Bun 二进制文件上，占位值保持不变，且服务端 _parse_cc_header 对”未知额外字段”持宽容态度。

反蒸馏双层防御：

• 第一层：anti_distillation: ['fake_tools'] 标志指示服务器在系统提示中注入伪造工具定义，毒化竞争对手录制的 API 流量
• 第二层：CONNECTOR_TEXT 服务端机制缓冲工具调用之间的助手文本，仅返回加密签名摘要，防止完整推理链被截获

绕过难度评估：研究者认为一个 MITM 代理剥离 anti_distillation 字段即可完成绕过；设置 CLAUDE_CODE_DISABLE_EXPERIMENTAL_BETAS 环境变量可同时禁用两层机制。

KAIROS：7x24 主动 Agent 系统

命名与定位

KAIROS（古希腊语”恰当的时机”）是 Claude Code 源码中发现的最重要的未发布功能。它不是一个辅助工具——它是一个范式转换：从被动响应式编程助手到全天候主动运行的自主 Agent。

Karpathy 的类比最为精确：

• Chat = 用户自己开车
• Code = 用户坐副驾驶导航
• Claw/KAIROS = 用户终于可以在后排放松睡觉

这是 AI 技术栈在 Chat 和 Code 之后的全新层级。

架构组件

1. Tick Loop（主动引擎）

KAIROS 的核心运行机制。使用 setTimeout(0) 向消息队列注入 <tick> 消息，通过让出事件循环确保用户输入可以抢占自主轮次。

系统提示指示模型：“将它们视为’你醒了，现在怎么办？’“——每隔数秒收到一次心跳提示：“现在有什么值得做的吗？“Agent 独立评估情况并做出判断：行动，或保持安静。

这是主动 Agent 设计的核心挑战：主动性与执行力的分离。Agent 不仅需要执行任务，还需要独立判断什么值得行动——这要求的判断力质量远高于简单的请求-响应系统。

2. SleepTool（休眠控制）

Agent 在空闲时显式交出控制权。设计需要平衡 API 调用成本和 Prompt Cache 过期窗口（5分钟）。正如源码注释所述：“每次唤醒都消耗一次 API 调用，但 Prompt Cache 在5分钟后过期。”

这意味着 KAIROS 需要在经济性和响应性之间精确权衡：睡太久会丢失缓存（下次唤醒更昂贵），醒太频繁则浪费 API 调用。

3. 15秒阻塞预算

常量：ASSISTANT_BLOCKING_BUDGET_MS = 15_000

自动将长时间运行的 shell 命令转入后台，防止单线程 Agent 阻塞。这是资源垄断的硬性防护——确保 KAIROS 不会因为一个耗时操作而失去对其他事件的响应能力。

4. GitHub Webhook 订阅

环境变量 KAIROS_GITHUB_WEBHOOKS 启用对 GitHub 仓库事件的实时监听。KAIROS 可以在后台无限期地监视仓库，在判断时机恰当时主动采取行动——修复错误、响应消息、更新文件。

三个独占工具（标准 Claude Code 不可用）：

• Push Notifications：后台 Agent 推送通知
• File Delivery：自主输出创建和文件交付
• PR Subscriptions：GitHub PR 的自主代码审查和反应

5. Cron 定时调度

后台守护进程工作器以5分钟 cron 刷新周期运行。支持定时检查（timed checks）、触发器（triggers）和回调（callbacks）。

结合 claude assistant [sessionId] 的持久会话恢复能力，KAIROS 可以跨重启、甚至笔记本合盖后继续工作。

6. 跨会话记忆

支持在多个 Claude 会话之间传递消息，实现跨会话进程通信。这不是简单的历史记录存储，而是活跃的跨会话状态管理。

7. autoDream（夜间自主处理）

KAIROS 最具想象力的组件。/dream 技能实现夜间记忆蒸馏：

运行方式：在用户空闲时作为 forked 子 Agent 运行，拥有只读 Bash 访问权限。

四阶段记忆整合流程：

1. Orientation（定向）：扫描当天追加写入的日志 logs/YYYY/MM/YYYY-MM-DD.md
2. Collection（收集）：聚合分散的观察记录
3. Integration（整合）：合并相关观察、移除逻辑矛盾、将模糊洞察转化为确定事实
4. Pruning（修剪）：更新 MEMORY.md 索引，清理冗余

这是对生物记忆巩固过程的模拟——人类在睡眠中完成记忆整理，KAIROS 在用户不活跃时做同样的事。

8. SendUserMessage 工具

Agent 输出通过专用消息层路由，状态字段区分 'normal' 和 'proactive' 意图标志。三级 UI 过滤支持不同视图模式——用户可以控制看到多少主动消息。

9. Append-Only 日志

不可变活动记录，按 logs/YYYY/MM/YYYY-MM-DD.md 模式组织。这是安全审计的基础——确保 KAIROS 的自主行为可追溯、可问责。

KAIROS 发布路线图（泄露前计划）

泄露导致这一路线图完全曝光，Anthropic 丧失了战略上的先手优势。

行业评价

Karpathy 在分析 KAIROS 后称其为”AI 的下一个进化方向”，指出 Claw 类产品是 AI 技术栈在 Chat 和 Code 之后的全新层级——代表更高的自主性和更强的主动性。

计费 Bug 分析

发现过程

一名 Reddit 用户通过逆向工程 Claude Code 源码，识别出两个独立的 Bug 导致缓存系统性失效：

Bug 1：Sentinel 替换机制

独立二进制文件中的 sentinel 替换机制，在对话涉及计费内部逻辑时会破坏 Prompt Cache。这是一个设计层面的缺陷——安全机制与性能优化之间的冲突导致了意外的成本膨胀。

Bug 2：Resume 参数缓存失效

自 v2.1.69 起，resume 参数会始终导致缓存失效。这意味着每次恢复会话都会强制重新计算完整的 Prompt，而不是复用之前的缓存——直接将成本推高至正常水平的数倍。

实际影响

两个 Bug 叠加的效果是 Prompt Cache 完全失效，计费成本在用户无感知的情况下膨胀 10-20倍：

加剧因素

除 Bug 外，Anthropic 还在高峰时段削减了配额上限，并在3月28日终止了促销期的双倍额度——三重打击叠加，导致用户体验到的额度消耗速度急剧加速。

Anthropic 回应

Anthropic 承认问题为”最高优先级”，表示用户”触达使用上限的速度比预期快很多”。社区报告降级至 v2.1.34 后情况有所改善。

信任损害

计费 Bug 的影响超越技术层面。对于一个月费 $200 的开发者工具，用户发现实际可用时间仅 3.5 小时，且原因是已知但未披露的缓存缺陷——这对定价诚信造成了直接伤害。结合源码泄露暴露的 Prompt Cache 经济学细节（14种缓存失效向量、DANGEROUS_uncachedSystemPromptSection 标注），社区质疑这些”Bug”是否全部是无心之失。

社区反应与法律后果

传播速度

claw-code 仓库创造了 GitHub 历史：

• 24小时内突破 30,000 Stars
• 截至4月2日超过 75,000 Stars、60,000+ Forks
• 成为 GitHub 历史上增长最快的仓库

重写浪潮

开发者 Sigrid Jin（instructkr）展示了 AI 时代的代码重写速度：

1. 3月31日深夜发现源码泄露
2. 凌晨4点开始用 Python 从零重写
3. 约7小时完成核心功能的 Python 移植
4. 随后启动 Rust 版本作为最终目标

法律意义：通过 AI 辅助的跨语言重写（TypeScript -> Python -> Rust），开发者在技术上构建了”洁净室”抗辩——代码是通过理解功能需求后独立实现的，而非直接复制。这代表了 AI 时代版权执法的全新挑战：传统洁净室方法需要数月时间和大量资本，AI 加速重建可以在一夜之间完成。

DMCA 与反制

Anthropic 发出 DMCA 版权撤除通知封锁 GitHub 链接，但效果有限：

• IPFS 托管的去遥测版本无法被传统版权机制触及
• 跨语言重写在法律上是否构成侵权尚无定论
• 去中心化分发渠道使 DMCA 管辖权存疑

ccunpacked.dev

社区自发创建的 Claude Code 架构可视化指南，内容包括：

• Agent 循环的完整流程图
• 40+ 工具模块的分类和功能说明
• 多 Agent 编排机制可视化
• Feature Flag 标记的未发布功能清单
• 环境变量门控和注释掉的代码段

该站上线后迅速冲上 Hacker News #1，获得 902 points，成为开发者社区理解 Claude Code 内部架构的标准参考资源。

模型代号曝光

源码中泄露的内部模型代号：

行业影响

对 Anthropic 的多维损害

品牌层面：一家以”安全优先”（safety-first）为核心品牌叙事的公司，在一周内连续暴露：

1. npm Source Map 泄露（3月31日）
2. CMS 配置错误泄露 Mythos 模型信息（3月26日）
3. 计费 Bug 导致多收 10-20 倍费用

这三重事件对企业客户的信任冲击是累积性的。

商业秘密层面：KAIROS 路线图的完全曝光意味着竞争对手可以提前数月调整策略。正如分析者所言：“代码可以重构；战略上的先手优势一旦泄露就无法收回。”

法律层面：DMCA 在 AI 辅助跨语言重写面前近乎失效。IPFS 去中心化分发使版权执法更加困难。

IPO 影响：Anthropic 2026年 IPO 计划面临额外风险——资本市场对管理成熟度和知识产权保护的审查将因此加剧。

对中国 AI 编程工具的启示

Claude Code 源码泄露为国内 AI 编程工具厂商提供了一份价值连城的工程参考：

可借鉴的：

• 三层记忆架构的设计哲学（“不记录代码，只记录人”）
• Prompt Cache 经济学的精细管理（14种失效向量追踪）
• 工具系统的结构化设计（专用工具 vs 原始 shell 暴露）
• 多 Agent 并行化的 Fork/Teammate/Worktree 三模式
• 六级安全架构的纵深防御思路

需要警惕的：

• 过度依赖 Prompt Cache 导致的计费脆弱性
• Source Map 等供应链卫生问题在国内 npm/PyPI 生态中同样存在
• 反蒸馏机制的薄弱性（MITM 代理即可绕过）暗示防御成本可能不值得投入

KAIROS 的信号：主动 Agent 是确定性的产品方向。无论是 Anthropic、OpenAI 还是国内厂商，“从被动响应到主动运行”的转型是 AI 编程工具的必然演进。谁能率先交付稳定可靠的 7x24 主动 Agent，谁就在下一阶段竞争中占据先机。

更广泛的安全背景

2026年3月标志着 AI 开发者工具安全的系统性失败月：

• Axios 木马部署
• LiteLLM 三阶段凭证收割
• Railway 认证数据泄露
• Mercor AI 数据泄露
• Claude Code Source Map 泄露

这不是孤立事件，而是整个 AI 工具链安全实践滞后于产品迭代速度的结构性问题。

批判性分析

1. “意外”还是”压力测试”？

一个价值思考：Anthropic 是否真的会犯如此低级的 .npmignore 错误？

支持”真实意外”的证据：

• Bun 的已知 Bug（oven-sh/bun#28001）确实会导致 Source Map 在生产模式下被包含
• 泄露中包含计费 Bug 等明显不利信息，不符合策略性泄露逻辑
• Anthropic 迅速发出 DMCA 表明其并不希望代码传播

但值得注意的是：泄露发生在愚人节前一天，而 Buddy 宠物系统原计划在愚人节上线。时间上的巧合令人遐想。

2. 反蒸馏的矛盾

Anthropic 在源码中部署了双层反蒸馏防御，但整个源码本身却通过最基本的包管理疏忽被完全泄露。这暴露了一个深层矛盾：精密的软件防御在基础运维失误面前毫无价值。花费大量工程资源防止 API 流量被窃取训练数据，却忘了在 .npmignore 中加一行 *.map。

3. KAIROS 的真正意义

KAIROS 不仅仅是一个功能——它代表了 AI Agent 从工具到伙伴的范式转换。

当前的 AI 编程工具（包括 Claude Code 的公开版本）都是反应式的：用户提问，AI 回答。KAIROS 将 Claude 变成主动式的：它自己决定什么时候该做什么，晚上你睡觉时整理白天的发现，盯着你的 GitHub 仓库等待需要介入的时机。

但这也引发严肃的安全和信任问题：

• 一个全天候运行、拥有代码仓库写入权限的自主 Agent，其错误操作的后果是什么？
• Append-only 日志是必要的问责机制，但谁来审计这些日志？
• 15秒阻塞预算防止了资源垄断，但不能防止逻辑层面的错误决策

4. 计费 Bug 的深层问题

计费 Bug 暴露的不仅是技术缺陷。Prompt Cache 是 AI API 经济学的核心——它直接决定了用户的实际使用成本。当缓存机制存在已知的、可被触发的失效路径时，“Bug”和”设计选择”之间的界限变得模糊。

$200/月的开发者工具在3.5小时内耗尽额度，而原因是两个自 v2.1.69 就存在的缓存缺陷——这意味着在泄露曝光之前，有不确定数量的用户在不知情的情况下为同一代码支付了 10-20 倍的费用。

5. 被低估的协同效应

将源码泄露与之前的 Mythos/Capybara 泄露结合来看：如果 Mythos 模型（被描述为”step change”和”迄今训练的最强大模型”）驱动 KAIROS 主动 Agent 系统——拥有 GitHub webhook、cron 定时、跨会话记忆和 autoDream——那组合起来就是一个全天候运行的超级智能 Agent。

这不是渐进式产品升级。这是 AI 编程工具从”更好的自动补全”到”自主软件工程师”的跨越。Anthropic 的问题是：这个跨越本应是一场精心策划的产品发布，现在却变成了一场事故后的被动解释。

6. 对开源 AI Agent 生态的催化

讽刺的是，这次泄露可能成为 AI Agent 开源生态的重大催化剂。512,000行经过生产验证的 Agent 架构代码——包含三层记忆系统、多 Agent 协调、40+ 工具模块的完整实现——这是任何开源项目都无法独立产出的工程参考。

7小时内的跨语言重写证明了 AI 辅助下，从参考实现到独立实现的转化速度已经达到了前所未有的水平。这对所有试图通过封闭源码维持竞争壁垒的 AI 工具厂商都是一个严峻信号。

数据附录

Claude Code 商业数据

源码泄露关键文件

终端渲染优化

使用 Int32Array 支撑的 ASCII 字符池，带位掩码编码的样式元数据。补丁优化器合并光标移动并取消冗余显示操作，实现 token 流式传输期间 stringWidth 调用约 50 倍的减少。