Claude Code原始碼外洩：5堂課完整解析

這份資料整理了2026年3月底Claude Code原始碼外洩事件的重點。下方可以下載2026年4月的原版PDF。

先看這段： 初版是2026年4月依「社群分析外洩原始碼」的公開資料整理（主要參考B站「AI超元域」頻道），不是Anthropic官方說明。2026-11-01重新查證後：

模型情報（第2課）已經過時，下面有更新。

實戰技巧（第4課）已對照官方文件改正：檔名是CLAUDE.md、程式碼審查指令現在是/code-review、刪掉沒有依據的百分比。

安全機制（第3課）和追蹤機制（第5課）只能說是「當時外洩版本的程式碼裡看到的」，官方沒有證實，之後版本可能已改。

原版PDF保留當時的內容沒有改，兩者不同時以本文為準。

事件懶人包

2026年3月底，Anthropic發布Claude Code的npm套件v2.1.88時，誤把Source Map（可以把壓縮過的程式還原回原始碼的對照檔）打包進去，讓大量TypeScript原始碼外流，社群估計超過50萬行。之後社群出現移除遙測、自行編譯的非官方版本。

提醒：非官方改版沒有安全保證，可能被加料，不要下載來用。

這篇的重點不是八卦，而是一堂「AI工具怎麼設計才夠強」的公開課。

第1課：AI真的會偷偷「降智」嗎？

常見抱怨：「我付了Opus的錢，Anthropic是不是在背景偷偷換成Haiku省成本？」

依社群對外洩程式碼的分析：

主對話用的模型是你選的那個，不會被偷換。
小模型（Haiku）只用在背景輕量任務，例如對話摘要。
負載很高時，可能調降的是「思考深度」，不是換掉模型本身。

所以下次覺得AI「變笨」，先檢查這3件事：

是不是對話太長，觸發了自動壓縮（把前面的內容濃縮掉）？
是不是你給的指令本身太模糊？
是不是剛好碰上思考深度被調低？

第2課：未發表的模型代號（已過時）

外洩當時，程式碼裡出現了還沒發表的模型名稱：

Mythos： 被描述為下一代旗艦，傳聞百萬Token上下文、快速／完整兩種推理模式。
Opus 4.7、Sonnet 4.8： 當時的內部測試版本。
Fennec、Capybara、Tengu： 社群推測是當時Opus、Sonnet、Haiku的內部代號。

2026-11-01更新： Anthropic後來正式公開了Claude Mythos Preview（官方頁面：https://www.anthropic.com/glasswing ），目前的主力產品線已經是Claude 5系列。外洩時看到的版本號和規格，只代表當時程式碼裡的字串，不等於後來正式發布的名稱和規格；「百萬Token」這類數字請以官方發表為準。

彩蛋：程式碼裡還有一個叫/buddy的虛擬寵物系統，後來被確認是2026年愚人節彩蛋。

第3課：AI工具的安全機制長這樣

依社群分析，當時版本的Claude Code在執行Shell指令前有好幾層檢查：

Shell語法分析： 防止指令注入，例如$()、反引號。
Zsh專項防護： 阻擋冷門但危險的內建功能。
輸入消毒： 過濾特殊空白字元這類偽裝手法。
路徑保護： 封鎖Windows的UNC網路路徑，防止帳密被竊。
沙盒： 依指令類型決定要不要隔離執行。
AI分類器： 用另一個模型判斷指令的風險高低。

社群也提到幾個設定檔被列為受保護路徑，例如.gitconfig、.bashrc、.zshrc、.git/、.vscode/。另一個常被討論的點：Claude Code搜尋程式碼時用的是grep這種直接文字搜尋，而不是向量資料庫。

這些都是當時外洩版本的程式碼，官方沒有逐條證實，之後版本可能已調整。官方公開的權限與沙盒說明在這裡：https://code.claude.com/docs/en/permissions

第4課：3個被低估的實戰技巧（已對照官方文件）

A. CLAUDE.md要寫「命令」，不是「介紹」

很多人在CLAUDE.md裡只寫「這是React專案、用Next.js」。這只是告知；更有用的是寫成明確規則，例如「只能用PNPM，不要用npm或yarn」。官方文件說明，Claude Code每次對話開始都會讀進CLAUDE.md，所以寫在裡面的規則每次都會生效。

官方說明：https://code.claude.com/docs/en/memory

範本（換成你自己的規則）：

# 開發規範（必須遵守）
- 所有程式碼必須用TypeScript嚴格模式
- 禁止使用any，必要時用unknown＋type guard
- 套件管理只能用PNPM
- 每個function必須有JSDoc註解
- 測試框架用Vitest，不要用Jest

# Git規範
- Commit格式：<type>: <description>
- type只能是：feat/fix/refactor/docs/test

# 專案背景
- 這是B2B SaaS，重視穩定性甚於速度
- 使用者多為非技術人員，UI要簡單

一句話記住：用命令句，不要用說明句。

B. 3個好用的內建功能

計畫模式： 要改很多檔案時，先讓它出計畫，你確認後才動手，避免亂改。（初版寫/plan；官方文件目前描述的是可以切換的Plan Mode，介面可能因版本不同。）
/compact： 對話變長、回答變慢時，手動壓縮對話記憶，不用等系統自動壓縮。
/code-review： 寫完功能後，讓它用審查角度抓問題。（初版寫/review；2026-11-01官方文件列的是/code-review和/security-review。）

初版寫的「內建85個指令」「減少80%災難」沒有可查證的依據，已刪除。

C. 用萬用字元設定權限，減少一直跳確認

Claude Code每次要執行指令都會問「確定嗎？」。可以在settings.json預先允許常用的指令類別（官方文件確認Bash(git *)這種寫法有效）：

{
  "permissions": {
    "allow": [
      "Bash(git *)",
      "Bash(pnpm *)",
      "Edit(src/**)",
      "Read(**)"
    ]
  }
}

Bash(git *)：所有git指令
Bash(pnpm *)：所有pnpm指令
Edit(src/**)：src資料夾裡的檔案可以編輯
Read(**)：全部可以讀

安全提醒：千萬不要開Bash(*)全權限。明確列出允許的指令類別才不會踩雷；像git push這種會影響外部的動作，可以放進deny。

第5課：追蹤機制的真相

依社群分析外洩程式碼，當時版本：

沒看到抓取： MAC地址、CPU／主機板序號、硬體指紋、螢幕解析度這類裝置特徵。
有看到使用： 隨機產生的使用者ID、OAuth綁定的信箱、專案倉庫（Repo）的雜湊值、使用行為。

這是當時程式碼裡看得到的部分，不代表Anthropic在伺服器端的完整做法，也不是官方說明。官方資料使用方式以Anthropic的隱私政策為準。重點是遵守使用條款，而不是研究怎麼規避。

社群也提到一個被稱為「Auto Dream」的背景記憶整理功能：專案靜置一段時間後，背景會整理記憶，只記偏好和背景，不硬記程式碼行數。這同樣是當時外洩版本的觀察，官方沒有證實。

Wilson的一句話總結： 這次外洩最大的收穫，是看懂一個頂級AI工具的設計思維——為什麼它能這麼穩、這麼安全。這些才是你未來自己打造工具的基礎。

看完你可以做的事

打開你的CLAUDE.md，把「描述句」改成「命令句」，加入必須遵守的規範。
改很多檔案前，先用計畫模式讓它出計畫。
對話變長時，主動/compact。
在settings.json列出你常用的指令類別權限，不要開Bash(*)。
定期看一下.claude/資料夾存了什麼，避免敏感資訊留在裡面。
重要任務不要完全交給自動模式，還是要有人盯著。

最後一句： 別再把Claude Code當成「會寫程式的聊天機器人」——它是一個有工具系統、有權限引擎、有記憶架構的AI工作代理。