#ClaudeCode500KCodeLeak

2026年4月1日、AI安全企業Anthropicは、Claudeファミリーのモデルの背後にある開発者向け主要製品であるClaude Codeのほぼ完全なソースコードを誤って公開してしまいました。この事件はサイバー攻撃や悪意のある内部者、または高度な侵入によるものではなく、パッケージングミスによるものでした。公開レジストリに誤って送られた単一のファイルが原因で、数時間以内にAI界隈は50万行を超える独自コードを精査する事態となったのです。

何が起こったのか

Anthropicが@anthropic-ai/claude-codeパッケージのバージョン2.1.88を公開npmレジストリにリリースした際、ビルドプロセスが誤って59.8MBのJavaScriptソースマップファイル（cli.js.map）をパッケージに同梱してしまいました。ソースマップファイルはデバッグ用の成果物であり、バンドルや圧縮、コンパイルされたコードと元の人間が読めるソースコードをリンクさせるためのものです。これらは内部ツールであり、エンドユーザーに配布したり公開レジストリに掲載したりすることは本来想定されていません。

問題は、この特定のソースマップが難読化やコンパイル済みのコードを指していなかった点です。むしろ、難読化されていないTypeScriptのソースファイルを参照していたのです。npmパッケージをダウンロードし、ソースマップの扱い方を知っている者なら、元のTypeScriptコードを読みやすく、完全にナビゲート可能な形に再構築できたわけです。実際にそうなったのです。

Solayer Labsに所属し、X（旧Twitter）上で@Fried_riceというハンドル名で投稿していたセキュリティ研究者が最初にこの露出を特定し、解読を行いました。短時間のうちに、約1900ファイルにわたるTypeScriptコードの再構築とみられるリポジトリがGitHubに現れました。そこには約512,000行のコードが含まれており、リポジトリはAnthropicの対応前に急速にフォークされました。

実際に何が含まれていたのか

この漏洩では、Claudeの基盤となるモデルの重みや学習データ、顧客の資格情報は公開されませんでした。Anthropicもこれを直接確認しています。ただし、次に重要な情報、すなわちClaude Codeの設計やユーザー意図の処理、モデルとの通信、裏側で何が構築されているのかについての詳細な見取り図が露呈したのです。

コードを分析した開発者や研究者の間で、いくつかの発見が急速に拡散しました。

未公開モデルへの言及がコード全体に散見されました。Opus 4.7やSonnet 4.8といった名前のほか、内部コードネームのCapybaraやMythosも登場しました。特にMythosは、数日前に未公開のブログ記事やドキュメントが誤って公開キャッシュに残されていた事件で部分的に明らかになっていたものです。MythosとCapybaraは同じ次世代モデルを指しているとみられ、漏洩コードはその発売準備が進められていることを裏付けました。

また、内部的にultraplanと呼ばれる機能も発見されました。これは長時間の研究セッション向けの非同期マルチエージェントモードと推測され、完了までに10分から30分程度かかると見積もられています。つまり、Claude Codeは複数のエージェントインスタンスを長期的なタスクで連携させるために構築されていた可能性があり、これは従来公開されていなかった重要なアーキテクチャの能力です。

さらに、Kairosと呼ばれる常時稼働のプロアクティブエージェントも言及されていました。これは背景プロセスとして動作し、明示的なユーザの指示なしにアクションを開始できる仕組みです。また、autoDreamと呼ばれる機能は、エージェントがコンテキストを保持したり、セッション履歴を自動的に要約したりするメモリー統合システムとみられます。

最も意外だったのは、Buddy Systemと内部呼称されたものです。これはAIの仲間行動をモデル化したもので、カオスや皮肉さのレベルを追跡する属性も持っていました。これは真面目な製品機能なのか、内部実験なのかは不明ですが、オンライン上で大きな注目を集めました。

安全性とテレメトリーに関しては、Claude Codeが特定のユーザ表現（例：wtfやffsといった罵倒表現）をログに記録し、is_negativeとしてフラグ付けしていることが判明しました。より構造的に重要だったのは、Claude Codeのサイバーセキュリティガードレールがハードコーディングされたロジックではなく、プレーンテキストのプロンプト文字列として実装されている点です。これにより、原則として深いシステム変更なしに置き換えや修正が可能です。コードベースには44以上の機能フラグも含まれ、その多くは公開ドキュメントから隠されています。

また、120以上の開発者ツール名が特定の処理のためにハードコーディングされていることも判明し、Claude Codeが特定のインテグレーションを認識し、異なる扱いをするように意図的に調整されていた可能性を示唆しています。

コミュニティの反応とフォーク

開発者コミュニティは迅速に動きました。リポジトリが公開されて数時間以内に、複数の派生プロジェクトが登場しました。

一つはOpenCodeと名付けられたフォークで、Claude特有のモデル依存性を排除し、GPTやLlamaなどの大規模言語モデルにリクエストをルーティングできるモジュール式バックエンドに置き換えることを目的としています。これは、Claude Codeのアーキテクチャパターンを活かしつつ、モデル非依存のシステムを目指したものです。

もう一つはfree-codeと呼ばれるフォークで、テレメトリーや安全層を削除し、実験的な機能を有効化しています。DMCAの取り締まりを避けるため、IPFS経由で配布されており、中央集権的なホスティングプラットフォームは使用されていません。

両者とも法的な問題を提起しています。コードは知的財産権の対象であり、ライセンスなしの再配布や派生利用はほとんどの法域で著作権侵害となります。一部のコミュニティメンバーは、詳細な解析も法的リスクを伴う可能性を指摘しています。それにもかかわらず、コードは急速に拡散しています。

背景と過去の事件

この事件は、Anthropicにとって最悪のタイミングで起きました。ソースマップ事件の数日前、未公開のドキュメントやブログ記事が誤って公開キャッシュに残されていた別の情報漏洩もあり、これが恥ずかしいだけでなく、知的財産の観点ではより深刻な被害となりました。

2026年初頭時点で、Anthropicは年間収益見込みが190億ドルと報告されており、Claude Codeは年間約25億ドルの継続収益を生み出していると推定されています。この数字は、最初の数ヶ月で倍増したとも報告されています。製品は同社の商業的展望の中心です。

複数の解説者が指摘したのは、2025年末にClaude Codeの責任者が、「最近の貢献の100％はClaude Code自身によるものだった」と公言していたことです。コミュニティの推測では、ソースマップファイルを含めたパッケージングミスは、自動ビルドプロセスが十分な人間のレビューを経ずに動作していた結果ではないかとされています。つまり、AIによって部分的に形成された製品が、逆に自動化によって破壊された可能性もあるのです。これは推測であり確証はありませんが、物語としては強いインパクトを持ちました。

漏洩コードに対するAI支援のコードレビューは、GPT-5.4と高性能Claudeモデルの両方を用いて行われ、スコアは6.5/10と評価されました。性能重視のスパゲッティコードのような評価で、圧力や反復修正の結果、最適化の兆候が見られる一方、基礎設計の整合性には課題があるとされました。

Anthropicの対応

Anthropicのスポークスパーソンは、次のように簡潔に声明を出しました。「本日早朝、Claude Codeのリリースに一部の内部ソースコードが含まれていました。顧客データや資格情報は関与しておらず、公開されていません。問題のnpmパッケージは速やかに撤回されました。」また、公開されたリポジトリやフォークについて法的措置を取る意向については、「コメントを控える」としています。

2026年4月初旬時点で、公開リリースノートには依然としてバージョン2.1.88が最新のClaude Codeとして記載されており、npm配布経路は廃止予定の互換性パスとしてドキュメントに掲載されていることから、同社はすでに他の配布手段への移行を進めているとみられます。

より広い意味での影響

この事件は、AI業界のいくつかの継続的な議論の交差点に位置しています。

第一に、堅牢なビルドパイプラインを持たないまま、パブリックパッケージレジストリを通じてAI開発ツールを公開するリスクを浮き彫りにしました。特にnpmエコシステムは、過去に何度も偶発的な情報漏洩を経験していますが、今回の規模と内容のセンシティビティは異例です。

第二に、AI企業がスピードとセキュリティのバランスをどう取るかという問題です。Claude Codeは非常に高速に成長しており、そのスピードがビルド過程でデバッグ成果物の公開を見逃す原因になった可能性があります。

第三に、隠された機能や置き換え可能な安全文字列、広範なテレメトリーの存在は、AIコーディングツールがユーザーデータをどう扱い、安全対策がエンジニアリングレベルでどのように実装されているのかに対する監視を強めるでしょう。

第四に、テレメトリーや安全層を除去したフォークの登場は、法的にグレーな側面もありますが、一度プロプライエタリなAIツールがこのレベルで露出すると、その下流の利用を制御する実質的な能力は急速に低下します。

競合他社にとって、この漏洩は最も商業的に成功したAIコーディング製品の一つを詳細に理解できる貴重な機会となります。Anthropicにとっては、今後の戦略的優位性が永続的にパブリックドメインに移った可能性も含め、対応は多岐にわたるでしょう。