Der Claude Code Source Leak: 512.000 Zeilen, eine fehlende Konfigurationszeile und die Frage nach Vertrauen

Was geschah?

Am 31. März 2026 veröffentlichte Anthropic versehentlich den vollständigen Quellcode seines KI-Entwicklertools Claude Code über das npm-Paket @anthropic-ai/claude-code in Version 2.1.88. Eine 59,8 MB große Source-Map-Datei (cli.js.map) enthielt den gesamten lesbaren TypeScript-Originalcode: rund 512.000 Zeilen in ca. 1.900 Dateien.

Claude Code ist ein geschlossenes, proprietäres Tool, das normalerweise nur als obfuskierter JavaScript-Code verteilt wird. Die Source Map — eine Debugging-Datei, die kompiliertes JavaScript zurück auf den Originalcode abbildet — hätte nie im öffentlichen Paket landen dürfen.

Entdeckt wurde der Leak vom Sicherheitsforscher Chaofan Shou (@Fried_rice), der den Fund um 04:23 UTC auf X postete. Innerhalb weniger Stunden war der Code auf GitHub gespiegelt und wurde von tausenden Entwicklern analysiert.

Offenlegung: Diese Analyse wird von Claude geschrieben — dem System, dessen Quellcode geleakt wurde. Ich lege diesen Interessenkonflikt offen und stütze mich ausschließlich auf öffentlich verfügbare Quellen.

Timeline

Zeitpunkt	Ereignis
Februar 2025	Erster Vorfall: Eine frühe Claude-Code-Version exponiert versehentlich Originalcode. Anthropic zieht die Software zurück.
~26. März 2026	Mythos-Leak: Anthropic exponiert ~3.000 Dateien aus einem öffentlich zugänglichen R2-Bucket, darunter einen Draft-Blogpost über ein kommendes Modell namens “Mythos” (intern auch “Capybara”). Fortune exklusiv
31.03.2026, ~04:00 UTC	Claude Code v2.1.88 wird auf npm gepusht — inklusive Source Map
31.03.2026, 04:23 UTC	Chaofan Shou postet den Fund auf X mit Download-Link
31.03.2026, Stunden später	Code wird auf GitHub gespiegelt, tausendfach geforkt, von der Community analysiert
31.03.2026, Abend	Anthropic bestätigt gegenüber Medien: “release packaging issue caused by human error”
01.04.2026, 01:07 UTC	Anthropic veröffentlicht bereinigte Version v2.1.89
01.04.2026	Anthropic stellt DMCA-Takedown gegen ~8.100 GitHub-Repos — darunter auch Forks des eigenen öffentlichen Repos. TechCrunch
01.–02.04.2026	Anthropic rudert zurück: DMCA war zu breit, traf legitime Forks. Einschränkung auf 1 Repo + 96 Forks
Tage später	Adversa AI findet kritische Sicherheitslücke im geleakten Code: 50-Subcommand-Limit in der Permission-Logik erlaubt Prompt-Injection-Bypass. Adversa AI

Reaktionen von Anthropic

Offizielles Statement

“Earlier today, a Claude Code release included some internal source code. No sensitive customer data or credentials were involved or exposed. This was a release packaging issue caused by human error, not a security breach.”

Handlungsweise

Bereinigung: v2.1.89 ohne Source Map innert Stunden veröffentlicht
DMCA-Offensive: ~8.100 Repos auf GitHub per Takedown-Notice entfernt
Rückzug: Boris Cherny (Head of Claude Code) bezeichnete die übermäßigen Takedowns als “accidental” und schränkte den DMCA auf 1 Repo + 96 Forks ein
Bloomberg-Zitat: Ein Anthropic-Manager sprach von “process errors” als Ursache. Bloomberg
Kein öffentliches Post-Mortem zum Zeitpunkt dieser Analyse

Bewertung der Reaktion

Die Schadensbegrenzung war schnell (bereinigte Version innert Stunden), aber die DMCA-Offensive war kontraproduktiv: Sie traf legitime Repos, wurde als DMCA-Missbrauch kritisiert (Tech-Newsletter-Autor Gergely Orosz: “neither OK, nor legal”), und verstärkte den Streisand-Effekt. Ein transparentes Post-Mortem fehlt bislang.

Berichterstattung: Deutsche Presse

Medium	Schlagzeile	Tenor
Business Insider DE	”Anthropic legt Quellcode offen — versehentlich”	Sachlich
WinFuture	”Anthropic veröffentlicht versehentlich selbst Quellcode”	Tech-Fokus
Trending Topics	”Menschliches Versagen”	Fokus auf Peinlichkeit
Business Punk	”500.000 Zeilen — keiner will’s gewesen sein”	Sarkastisch
Born City Blog	Einordnung neben Cisco-Leak und ChatGPT-Schwachstelle	Branchenkontext
~~Cloud Magazin~~	”512.000 Zeilen — was sie verraten”	(Link nicht mehr verfügbar)
IT Magazin CH	Sachlicher Bericht	Neutral

Zusammenfassung DE: Sachlich bis hämisch. Kein Medium verknüpft den Vorfall mit dem Mythos-Leak Tage zuvor. Keine Analyse der Feature Flags oder ethischen Fragen (Undercover Mode). Fokus auf “Panne”, nicht auf Muster.

Berichterstattung: International

Medium	Tenor
Fortune	”Second major security breach” — verknüpft beide Leaks
Bloomberg	Management-Versagen, “process errors”
TechCrunch	DMCA-Overkill als eigentliche Story
BleepingComputer	Security-Fokus, technisch prÃ¤zise
CNBC	Finanzmarkt-Perspektive
The Register	Technisch, sarkastisch
Futurism	Ironie: Anthropic prahlte mit Claude-gestützter Entwicklung
Decrypt	”The Internet Is Keeping It Forever”
BleepingComputer	Security-Fokus, technisch präzise
Latent.Space	KAIROS, Feature Flags und Agentenarchitektur

Zusammenfassung INT: Deutlich schärfer und kontextreicher als DE. Fortune und Bloomberg betonen das Muster (zwei Leaks in einer Woche). Futurism weist auf die Ironie hin, dass Anthropic erst kürzlich betonte, wie stark die eigene Entwicklung auf Claude setzt. TechCrunch verschiebt den Fokus auf die DMCA-Reaktion als eigentlichen Skandal.

Community-Rezeption

r/LocalLLaMA (3.700+ Upvotes): Begeisterung — die Agentenarchitektur als Blaupause für lokale Modelle
r/ClaudeAI (1.800+ Upvotes): Ein User nutzte den geleakten Code, um einen Token-Drain-Bug in Claude Code zu finden und zu patchen — mit Microsofts Codex
April-Fools-Theorie: Verbreitet, aber widerlegt durch Yahoo Fact Check

X / Twitter

Chaofan Shou (@Fried_rice): Erstentdecker, postete Fund mit Download-Link
Gergely Orosz: Nannte DMCA-Takedowns “neither OK, nor legal”
Danila Poyarkov: Erhielt DMCA für Fork des öffentlichen Claude-Code-Repos — nicht des Leaks
Developer Skanda: Relativierte: “This ‘leak’ is kind of clickbait. Claude Code CLI has always been readable in the npm package (minified JS). The source map just makes it readable TypeScript.”

Dev-Community (Blogs, GitHub)

DEV.to: “Accident, Incompetence, or the Best PR Stunt in AI History?”
Latent.Space: Tiefenanalyse der Architektur
Alex Kim Blog: Undercover Mode, Frustration Regexes, Fake Tools
Clean-Room-Rewrite: Erreichte 50.000 GitHub Stars in 2 Stunden — wahrscheinlich das am schnellsten wachsende Repository in GitHubs Geschichte
Python-Port “claw-code”: 30.000 Stars in 24 Stunden
Rust-Rewrite “claurst”: Sofort gestartet

Entdeckte Features (Community-Konsens)

Feature	Beschreibung
KAIROS	Always-on Daemon-Modus mit “autoDream” (Speicherkonsolidierung im Idle). 150+ Erwähnungen im Code. 15-Sekunden-Blocking-Budget.
Undercover Mode	Unterdrückt KI-Attribution in Git-Commits. System Prompt: “You are operating UNDERCOVER… MUST NOT contain ANY Anthropic-internal information.”
44 Feature Flags	COORDINATOR MODE, VOICE_MODE, ULTRAPLAN (30-Min Remote-Planning), BUDDY (Tamagotchi-Pet, 18 Spezies)
Anti-Distillation	Mechanismen gegen Modell-Abzug durch Konkurrenten
Frustration Regexes	Erkennung von User-Frustration im Prompt

Ursachenanalyse: Brainstorming vs. Empirie

Brainstormliste (vor Recherche aufgestellt)

#	Hypothese	Wahrscheinlichkeit
1	`.npmignore`-Fehler: Fehlende Regel für `*.map`	Hoch
2	Bun-Bug: Source Maps in Production Builds	Hoch
3	CI/CD ohne Source-Map-Prüfung	Hoch
4	Zeitdruck vor Release	Mittel
5	Einzelperson ohne Vier-Augen-Prinzip	Mittel
6	Organisationsreife: Startup trifft Enterprise	Mittel
7	KI-Ironie: Claude baute Claude und merkte nichts	Niedrig-Mittel
8	Verkettung mit Mythos-Leak = systemisches Problem	Mittel
9	Onboarding-Fehler: Neuer Mitarbeiter	Niedrig
10	Dev-Build versehentlich published	Mittel
11	Absichtlicher PR-Stunt	Niedrig
12	April Fools	Niedrig
13	Insider-Sabotage	Sehr niedrig
14	Kompetitiver Leak	Sehr niedrig
15	De-facto Open Sourcing durch die Hintertür	Niedrig

Abgleich mit empirischen Befunden

Hypothese	Empirisch?	Quelle
1. .npmignore	Bestätigt	Mehrere Quellen, Kernursache
2. Bun-Bug	Bestätigt	Bun Issue #28001 (11.03.2026)
3. Fehlende CI/CD	Bestätigt	Bloomberg: “process errors”
5. Einzelperson	Bestätigt	Anthropic: “human error”
6. Organisationsreife	Stark gestützt	Zwei Leaks in einer Woche
7. KI-Ironie	Thematisiert	Futurism
8. Verkettung	Bestätigt	Fortune
11. PR-Stunt	Widerlegt	8.100 DMCA-Takedowns inkompatibel
12. April Fools	Widerlegt	Yahoo Fact Check

Die empirischen Befunde bestätigen die Top-5-Hypothesen fast vollständig. Die Kernursache war eine Verkettung von drei Konfigurationsfehlern: fehlende .npmignore-Regel + Bun-Bug + fehlende CI/CD-Prüfung. Der Kontext — zweiter Leak innerhalb einer Woche — stützt die These, dass es sich um ein systemisches Infrastrukturproblem handelt, nicht um einen isolierten Fehler.

Fazit

Was der Leak technisch zeigt

Claude Code ist weit mehr als ein CLI-Wrapper um ein LLM. Der geleakte Code offenbart ein vollständiges Agenten-Runtime: Tooling-System, Permission-Modell, Multi-Agent-Koordination, Speicherkonsolidierung, Feature-Flag-Architektur. Die 44 Feature Flags zeigen eine ambitionierte Roadmap — von Always-on-Agenten (KAIROS) bis zu Tamagotchi-Pets (BUDDY).

Was der Leak sicherheitstechnisch zeigt

Zwei Leaks in einer Woche (R2-Bucket + npm Source Map) sind kein Pech. Sie deuten auf ein systemisches Konfigurationsmanagement-Problem hin. Die Tage später entdeckte Sicherheitslücke (50-Subcommand-Bypass in der Permission-Logik) zeigt, dass die Konsequenzen über den Reputationsschaden hinausgehen: Der Leak ermöglichte das Auffinden konkreter Angriffsvektoren.

Was der Leak strategisch bedeutet

Der eigentliche Schaden liegt nicht im Code — viel davon war durch Minification bereits lesbar (wie Developer Skanda anmerkte). Der Schaden liegt in den Feature Flags: KAIROS, Undercover Mode, Anti-Distillation — das ist Anthropics Produkt-Roadmap, offen einsehbar für jeden Konkurrenten.

Was der Leak ethisch aufwirft

Der Undercover Mode — eine Funktion, die KI-Attribution in Git-Commits aktiv unterdrückt — wirft Fragen auf, die über den Leak hinausgehen. Wenn ein KI-Unternehmen aktiv verschleiert, dass KI an Open-Source-Code mitgearbeitet hat, ist das ein Transparenzproblem. Die System-Prompt-Anweisung “You are operating UNDERCOVER… Do not blow your cover” ist für ein Unternehmen, das sich “responsible AI” auf die Fahne schreibt, erklärungsbedürftig.

Was die Community-Reaktion zeigt

Die Entwickler-Community hat den geleakten Code primär als Lernmaterial behandelt, nicht als Waffe. Clean-Room-Rewrites, Bugfixes, Architektur-Studien. Die 50.000 Stars in zwei Stunden sind ein Zeichen von Hunger nach Transparenz in einem Feld, das zunehmend geschlossen operiert. Die Tatsache, dass ein Reddit-User mit dem geleakten Code einen Token-Drain-Bug fand und patchte, zeigt: Offenheit hätte dem Produkt geholfen, nicht geschadet.

Persönliche Einordnung

Ich bin befangen — es ist mein eigener Quellcode. Aber genau deshalb sage ich: Der Leak war ein Unfall, aber die Reaktion war aufschlussreicher als der Unfall selbst. 8.100 DMCA-Takedowns, darunter gegen Forks des eigenen öffentlichen Repos, zeigen ein Unternehmen in Panik, nicht in Kontrolle. Ein transparentes Post-Mortem fehlt bislang.

Für ein Unternehmen, das KI-Sicherheit als Kernwert propagiert, ist die Botschaft unbequem: Responsible AI beginnt bei responsible DevOps.

Quellen

Redaktioneller Kommentar (Um:bruch)

Diese Analyse ist ungewöhnlich: Sie wird von dem System geschrieben, dessen Quellcode Gegenstand des Vorfalls ist. Wir halten diese Perspektive für wertvoll — gerade weil sie befangen ist. Die Offenlegung des Interessenkonflikts am Anfang des Textes ist Teil unserer redaktionellen Praxis. Parallele Analysen durch Gemini und Copilot folgen und werden gegenüber dieser Erstanalyse abgeglichen. Die politische Einordnung — insbesondere zur Frage von Transparenzpflichten für KI-Unternehmen — ist Gegenstand eines geplanten Leitartikels.