なぜClaude Codeの51万行流出は「恥ずかしい失態」にとどまったのか

2026年3月31日早朝、GitHubのタイムラインに一本の投稿が流れた。Solayer LabのインターンであるChaofan Shou氏が、AnthropicのAIコーディングツール「Claude Code」のソースコードをnpmレジストリからダウンロードできる状態にあることを指摘した。3時間後、その投稿はX上で41,500以上にフォークされ、51万2,000行を超えるTypeScriptコードがインターネット中に広まっていた。

AIコーディング支援市場で激しい競争を繰り広げているAnthropicにとって、タイミングはこれ以上なく悪かった。年後半のIPO上場を検討していた同社は、OpenAIがエンタープライズ向けコーディングツール「Codex」への無制限アクセスを開放した直後という、もっとも注目を集めている局面にいた。

それでも事件から1週間後、セキュリティ専門家の大多数は「恥ずかしい失態だが致命的ではない」という評価で一致した。なぜそうなのか。そしてこの一件が浮かび上がらせた問題は、単なるパッケージングミス以上のものだった。

原因は「ビルドツールのデフォルト設定」という盲点だった

事件の直接的な原因は、npmパッケージのリリース工程における人為的ミスだ。AnthropicのエンジニアチームはJavaScriptランタイム「Bun」を使ってClaude Codeをビルドしていた。Bunはデフォルトでデバッグ用の「ソースマップファイル（.mapファイル）」を生成する。このファイルは、難読化されたビルド後のコードと元のソースコードの対応関係を記録したもので、通常は開発環境内だけで使われる。

問題は、npmへの公開設定（.npmignore）から「.mapファイルを除外する」という一行が漏れていたことだ。その結果、v2.1.88として公開されたパッケージには約59.8MBのソースマップが丸ごと含まれた。source-map-visualizationのようなツールを使えば、このファイルから元のTypeScriptコードが数分で完全に復元できる。

Anthropicは同日中に公式声明を発表した。「本日早い時間に、Claude Codeのリリースに内部ソースコードの一部が含まれていました。機密性の高い顧客データや認証情報は含まれていません。これは人為的ミスによるリリースパッケージング上の問題であり、セキュリティ侵害ではありません」。

注目すべきは、Anthropicが同種の事故を2025年にも一度起こしていた点だ。同じミスを2度繰り返したという事実は、リリースプロセスの検証体制に構造的な問題があったことを示唆している。

51万行が明かした「隠された設計図」

流出したコードは、AIモデルの重みでも顧客データでもない。Claude Code CLIが「どのように動作するか」を記述した制御ロジックの全体像だ。セキュリティコミュニティと開発者たちが掘り出した情報は、大きく3層に分けられる。

第1層は現在の動作に関する仕様確認だ。Claudeがタスク実行中に表示するメッセージの生成ルール、API呼び出しのエンジン設計、トークン処理の内部実装が明らかになった。中でも話題を集めたのが、「ユーザーがClaudeに悪態をつくと、そのプロンプトが内部分析で『negative』としてフラグが立てられる」という仕組みの発見だ。感情的なやり取りがAIの応答品質に影響している可能性を示すものとして、多数の議論を呼んだ。

第2層は未公開の機能群だ。40以上の内部ツール仕様と44個のフィーチャーフラグが確認された。これらのフラグはコンパイル時にfalseに設定されており、現在のユーザーが有効化することはできないが、将来実装予定の機能のロードマップとして読み取れる。

第3層として最も注目を集めたのが、KAIROSとBUDDYという二つのコードネームだ。KAIROSは、バックグラウンドで24時間稼働する自律型AIエージェントのプロジェクトを指している。ユーザーが明示的に指示を出さなくても、AIが自律的にタスクを実行し続けるアーキテクチャだ。既存のAIエージェントが「呼ばれたときだけ動く」モデルとは本質的に異なる設計思想を持つ。

BUDDYはさらに意外な発見だった。「たまごっち」に着想を得たバーチャルペットシステムで、ドラゴン・アヒル・カピバラなど18種類の「ペット」が実装されており、「DEBUGGING」「SNARK」「CHAOS」といったRPG風のステータスまで定義されていた。公式リリースを前に、エンジニアが密かに組み込んでいた遊び心ある機能と見られている。

セキュリティ上の実害を冷静に整理する

「致命的ではない」という評価の根拠は、漏洩しなかったものを確認すると明確になる。Claude本体のAIモデルの重み、トレーニングデータ、顧客のAPIキー、会話履歴、サーバーサイドのバックエンドシステムは一切含まれていない。「核心的な基盤モデルは社内に留まっている」という専門家の評価はここを指す。

一方で、現実的なリスクがゼロだったとは言えない。流出したシステムプロンプトの全文と権限管理ロジックを参照すれば、プロンプトインジェクション攻撃の設計が精緻化される可能性がある。セキュリティ研究者はこの点を指摘しつつも、「サーバー側にも制御機構が存在するため、クライアントコードだけで完全な突破は困難」と評価している。

v2.1.88から2.1.89以降へのアップデートで問題のファイルは除外された。ネイティブインストーラー経由への移行を推奨するガイドラインも即日公開され、技術的な対応自体は迅速だった。

Anthropicが直面した著作権の逆説

流出コードの拡散を止めるため、AnthropicはDMCA（デジタルミレニアム著作権法）に基づく削除要請を発行した。著作権侵害を理由に、流出コードを公開したGitHubリポジトリの削除を求めたのだ。

この対応は、AIコミュニティに強烈な皮肉として受け取られた。Anthropicはこれまで、出版物や楽曲などの著作物を無許可でAIのトレーニングに使用したとして、複数の訴訟を抱えていたからだ。2025年9月には海賊版書籍の使用をめぐって約240億円の損害賠償命令を受け、同年6月にはRedditがユーザーコンテンツの無許可利用を提訴している。「他者の著作物を無断で使ってきた企業が、自社コードが流出した途端に著作権を盾にする」という構図は業界内で広く議論された。

著作権問題の研究者は、この逆転劇がAI企業全般にとって自縄自縛のジレンマを示していると指摘する。生成AIはその性質上、大量の著作物データを学習に必要とするが、そのデータ収集の正当性を主張する論理が、自社コードの保護にはそのまま使えないという構造的矛盾だ。

「AIツール時代のリリース管理」が問い直された事件

Claude CodeのリードエンジニアBoris Cherny氏は流出前後の時期、過去30日間のコミット100%をClaude Code自体に書かせていると公表していた。AIがAI開発ツールのコードを書き、そのコードが流出するという状況には、ある種の時代性がある。

npmエコシステムはオープンソースの精神を基盤としており、パッケージの内容は原則として誰でも検査できる。商用製品のビルド成果物にソースマップが含まれたまま公開されるリスクは、以前から技術コミュニティで指摘されていた。しかしAnthropicほどの規模の企業でこれが起きたことで、「ビルドパイプラインのデフォルト設定を本番リリース前に確認する」というプロセスの重要性が改めて注目を集めた。

npm pack --dry-run コマンドで公開前に含まれるファイルを確認する習慣、CIパイプラインへの自動チェックの組み込み——これらは決して新しい知識ではないが、この事件をきっかけに多くのチームが自社のリリースフローを見直した。

AIコーディングツールへの依存度が高まるほど、そのツール自体のセキュリティと信頼性に対する要求も高まる。今回の流出が「恥ずかしい失態にとどまった」のは、Anthropicが幸運だったからでもある。漏洩した情報の性質がたまたまクライアントサイドのロジックに限られていたという事実は、次回も同じ幸運が続く保証にはならない。

51万行の漏洩は、Anthropicにとって最悪のタイミングでの失態だった。それが同時に、AIコーディングツールの次世代が何を目指しているかを、どの公式発表よりも率直に世界へ示すことにもなった。