تسريب Claude Code: Anthropic تنشر الشيفرة المصدرية كاملة في سجل npm العام

في 31 مارس 2026 نشرت Anthropic عن طريق الخطأ الشيفرة المصدرية الكاملة لـ Claude Code في سجل npm العام. وبقيت 512 000 سطر بلغة TypeScript متاحة للجميع عدة أيام، إلى أن اكتشف أحد الباحثين خطأً في إعدادات Cloudflare وأبلغ الشركة به.

ما الذي شمله التسريب

ضمّت الشيفرة 1906 ملفات، وتضمنت التنفيذ الكامل لـ Claude Code، وهي الأداة التي يستخدمها المطورون لأتمتة البرمجة بمساعدة AI. وكان كل ذلك مخزنًا على Cloudflare bucket دون حماية أساسية للوصول، وبوسع أي شخص يعرف عنوان URL الصحيح الوصول إليه.

ولم يقتصر التسريب على الشيفرات المصدرية، بل شمل أيضًا إعدادات النشر، ومفاتيح API الخاصة بالتكامل مع GitHub وSlack ومنصات أخرى، إضافة إلى الوثائق الداخلية المتعلقة ببنية النظام. وهذه معلومات تبقى عادةً في مستودعات خاصة، ويمكن استخدامها للبحث عن الثغرات أو لإجراء الهندسة العكسية.

وحجم التسريب لافت: فالـ 512 000 سطر برمجي تمثل سجل تطوير المنتج بالكامل، بما في ذلك الـ commits وتعليقات المطورين والفروع التجريبية.

الأعلام المخفية وMythos الغامض

عُثر في الشيفرة المصدرية على 44 علمًا مخفيًا (feature flag)، وهي ميزات تخطط Anthropic لإطلاقها لكنها معطّلة حاليًا في الإصدارات العامة. ومن بينها إشارات إلى نموذج اسمه الرمزي Mythos.

ولا يُعرف عن Mythos سوى القليل: فمن الشيفرة لا يتضح هل المقصود إصدار جديد من Claude أم مشروع تجريبي منفصل يعمل على بنية مختلفة تمامًا. لكن مجرد وجود تلميح كهذا في الشيفرة المنشورة يدل على أن Anthropic تعمل على أمر مهم، وتبقيه حتى الآن سرًّا عن المنافسين.

وكشف التسريب عدة تفاصيل مهمة عن أولويات Anthropic وخططها:

• 44 علمًا مخفيًا (feature flag) في الشيفرة المصدرية
• إشارة إلى نموذج Mythos في تعليقات المطورين
• مفاتيح API وإعدادات للعمل مع خدمات خارجية
• أجزاء من الوثائق المتعلقة ببنية Claude Code
• بيانات اختبار وأمثلة للاستخدام الداخلي
• سجل جميع الـ commits مع التواريخ والمؤلفين

الأمن نقطة ضعف في الصناعة

يكشف هذا الحادث تناقضًا عميقًا في صناعة AI. فالشركات التي تتحدث بنشاط عن أمن AI وضرورة تنظيمه ترتكب أخطاء أساسية في حماية شيفرتها الخاصة. ولم يقع التسريب بسبب هجوم متعمد من قراصنة أو هندسة اجتماعية، بل بسبب إعداد خاطئ لـ Cloudflare bucket فحسب.

نشر الباحث معلومات التسريب على وسائل التواصل الاجتماعي، وبعد ذلك فقط حذفت Anthropic الشيفرات وطلبت إزالتها من الذاكرة المؤقتة. لكن النسخ انتشرت على الأرجح في أنحاء الإنترنت. والسؤال هو كم من الوقت سيقضيه المنافسون في تحليل هذه الشيفرة، وهل سيجدون في بنيتها ما يمكنهم استخدامه لمصلحتهم.

«يذكّر هذا بحالات سابقة وقعت لشركات كبرى أخرى. فالأمن كثيرًا ما يبقى

على الهامش إلى أن يقع حادث»، هكذا علّق أحد كبار خبراء الأمن على ما حدث.

ماذا يعني ذلك

تتطور شركات AI بوتيرة متسارعة، لكن البنية التحتية للأمن كثيرًا ما تتأخر عنها. وتسريب Claude Code ليس الحادث الأول من هذا النوع ولن يكون الأخير. وهو تذكير للمطورين بأن لا أحد في مأمن، حتى القادة المعترف بهم في القطاع. وعلى الشركات أن تتعامل مع حماية الشيفرة بالجدية نفسها التي تتعامل بها مع حماية النماذج.