2026 年 3 月底，Anthropic 在發佈 Claude Code npm 套件時意外夾帶了 source map 檔案，導致 512,000 行 TypeScript 原始碼全部曝光。安全研究員與開發者迅速從中挖出 token 消耗過快的 autocompact bug、Permission system 安全漏洞，以及 KAIROS 常駐代理、BUDDY AI 寵物等隱藏功能。這篇文章整理洩漏的原因、原始碼揭露的架構設計、已知 Bug、爭議功能。