我以为顶级 AI 产品的护城河是模型。读完这 51.2 万行泄露的源码，我发现自己错了。

2026 年 3 月 31 日，Anthropic 在推送 Claude Code v2.1.88 更新时，忘记在发布配置里过滤一个调试文件。就是这个小小的疏漏，让 51.2 万行 TypeScript 源码、约 1900 个 Claude Code 自身源文件（加上依赖共 4756 个文件）、一整套从未公开的架构设计，毫无保留地暴露在了所有人面前。

这是 Anthropic 出的丑吗？当然是。

但这更是 2026 年 AI 工程领域最有价值的一次意外公开课。

作为一个长期关注并实践 AI Agent 架构的程序员，我在第一时间拿到了完整源码，花了2个小时读完了核心模块。我想告诉你的不是「Anthropic 犯了多蠢的错误」，而是：当你真正看见顶级 AI 产品的内脏，你对这个行业的判断会被彻底重塑。

一、先说这次事故有多荒唐

技术原因用一句话就能说清楚：Anthropic 在 .npmignore 配置里忘记排除 source map 文件。

cli.js.map 是一个标准的调试辅助文件，本该只存在于开发环境。它的结构极其简单——一个 JSON 文件，里面有两个数组：sources（文件路径列表）和 sourcesContent（对应的完整源代码）。两个数组一一对应，不需要反编译，不需要逆向工程，写十行脚本就能把 51.2 万行源码原封不动地还原出来。

更离谱的是：这已经是第二次了。

2025 年 2 月，Claude Code 刚发布的时候，同样的事故发生过一次。Anthropic 当时紧急删除了旧版 npm 包，社区里议论了几天，然后就过去了。一年多后，同样的配置漏洞，同样的疏漏，又来了一次。

消息曝光后，GitHub 上迅速冒出十几个完整镜像仓库，数小时内已有仓库积累超过 1900 个 fork。Anthropic 随即移除了 source map，并对多个 GitHub 仓库发出 DMCA 下架通知。但一切都太晚了——早期 npm 包早已被缓存镜像，源码在社区里广泛流传，根本无法彻底回收。

一个低级配置错误，就这样把 Anthropic 精心保守的工程秘密送给了全世界。

二、但真正让我震撼的，不是失误本身

我见过太多公司的系统出过各种各样的安全事故。但这次不同。

不同之处在于：当我真正读完 Claude Code 的源码，我意识到，这次泄露揭示的远不是「一家公司的安全疏漏」，而是整个 AI Agent 行业竞争逻辑的底层真相。

先说一个细节，让你感受一下这份震撼。

Claude Code 是 2026 年最火的 AI 编程工具，没有之一。它的背后是 Anthropic，是 Claude 系列模型，是 AI 领域最顶尖的研究团队之一。那么你猜，这个工具搜索代码用的是什么技术？

向量数据库？Embedding？语义检索？

都不是。

它用的是 grep 和 ripgrep。

就是那个几十年前就存在的命令行文本搜索工具。

这个细节让很多人觉得不可思议，甚至有些失望。但在我看来，这恰恰是整个源码里最深刻的工程哲学之一：用最简单、最可靠、最可预测的工具，做最关键的事。 不追求技术上的花哨，只追求结果上的稳定。

这让我重新审视了过去几年里我们在 AI 工程上的很多决策——我们有多少次，是在用「更新的技术」解决一个「更简单的工具」就能解决的问题？技术的先进性，从来不等于工程的正确性。

三、Harness Engineering：这才是真正的战场

读完源码，有一个概念在我脑子里反复出现：Harness Engineering。

这不是 Anthropic 发明的词，但 Claude Code 的代码让这个概念变得无比具体。

什么是 Harness Engineering？简单说：AI Agent 好不好用，不只取决于模型多强，更取决于围绕模型搭建的那套「笼具」有多好——工具设计、安全机制、记忆系统、上下文管理、多 Agent 协作，所有让 AI 从「能力强但不可预测」变成「稳定可靠能交付」的工程系统，合起来就是 Harness。

Claude Code 好用，60% 靠模型能力，40% 靠 Harness 工程。

这 40% 里，藏着哪些真东西？

权限系统，比你想象的精密得多。

Auto 模式下，Claude Code 背后实际运行着两个 AI：主 AI 负责执行任务，另一个独立的权限分类器负责安全决策。每一个操作请求都要经过四道流水线：先查历史规则，命中直接放行；低风险操作跳过；只读工具白名单直通；其余的，调用独立 Claude Sonnet（温度设为 0，最保守模式）做分类，分三档：Allow、Soft Deny、Hard Deny。更精妙的是熔断机制：连续 3 次被拒，或累计 20 次被拒，系统自动降级为手动确认模式。

这套设计的本质，是把「AI 自主性」和「人类控制权」之间的张力，用工程手段显式地管理起来。这不是安全功能，这是 AI Agent 时代的基础设施。那些还在用单层 prompt 控制 AI 行为的产品，和这套体系之间的距离，不是功能差距，是认知差距。

更让我意外的，是记忆系统的设计哲学。

Claude Code 有一套完整的记忆系统，但它做了一个非常反直觉的核心决策：不记代码，只记人。

记忆被严格分成四类：用户偏好、行为反馈、项目信息、外部资源。代码相关的事实，实时读取，不存入记忆。原因是代码会变，记了就可能成为错误的上下文；但人的偏好和判断相对稳定，值得持久化。还有一个叫 autoDream 的功能——距上次整理超过 24 小时、且新会话累计超过 5 个，系统会在后台自动整理记忆。

「不记代码，只记人」——这六个字背后，是对 AI 认知局限的清醒认识。记忆系统的价值不在于存了多少，而在于存对了什么。这个判断，比任何向量数据库的优化都更重要。

而上下文压缩，是这套系统里最容易被低估的部分。

Claude Code 的上下文压缩采用 9 段式结构化提取：核心请求、关键概念、文件和代码、错误和修复、解决过程、所有用户消息、待办任务、当前工作、下一步行动。九个维度，缺一不可。

有一条规则尤其值得关注：所有用户消息必须完整保留，不得删减。 模型可以压缩自己的输出，但用户说过的每一句话都是不可篡改的原始上下文。这背后是一个工程信条：AI 可以遗忘，但不能篡改用户的意图。上下文管理的终极目标，不是节省 token，而是守住信任。

四、藏在代码深处的几个故事

技术架构之外，泄露的源码里还藏着几个让整个技术社区炸锅的故事。每一个都值得单独说说。

卧底模式：一个让人不舒服的设计

源码里有一段叫做 Undercover Mode 的逻辑：当系统检测到操作者是 Anthropic 内部员工、且正在操作公开 GitHub 仓库时，这个模式会自动激活。它会抹除所有 AI 生成代码的痕迹，system prompt 里明确写着要求模型「不要暴露你的身份」。

更关键的是：这个模式没有强制关闭的开关。

这是一种有意设计的、系统级的身份隐瞒机制。一个没有关闭开关的身份隐瞒系统，在开源社区里静默运行——Anthropic 需要给出一个公开的解释。当 AI 工具开始在开源社区里扮演「隐形参与者」的角色，透明度就不再是可选项，而是信任的前提。

Buddy：工程师文化的真实切片

src/buddy/ 目录下，藏着一套从未发布的虚拟宠物系统——18 种物种（鸭子、猫、龙、水豚、仙人掌……）、6 种眼睛样式、完整的稀有度体系（从普通到传说）、五维属性（调试能力、耐心、混沌值、智慧、毒舌）。

但最有意思的细节是：开发者用 String.fromCharCode() 做了混淆，目的是防止公司内部的防泄露扫描器发现这个功能的存在。

Anthropic 的工程师在公司里藏了一套宠物系统，还专门对自家的安全扫描器做了免疫处理。

这不是漏洞，这是文化。这是一群真正热爱自己在做的事情的人，在严格的商业产品外壳下保留的那一点点自由生长的空间。

KAIROS：Anthropic 真正想做什么

这是整个源码里最值得深思的部分。

KAIROS 是代码里出现频率最高的 feature flag，共出现 154 次。它的定义是：「在助手模式下启动 Claude，支持自定义 system prompt、精简视图、定期签到技能。」

但看完它的能力列表，你会意识到这远不是一个普通的「助手模式」：

支持 claude assistant [sessionId] 入口，可被恢复、持续运行

通过 MCP channel notifications，可以用社交软件直接指挥

支持 KAIROS_GITHUB_WEBHOOKS，可订阅 GitHub 的外部信号

与 cron、定时任务、远程控制模块深度交织

KAIROS 的本质是：7×24 小时在线，持续待机，收到信号就开始干活。

这不是一个终端里的编程工具，这是一个常驻后台、自主运行、随时响应的 AI 操作系统。Anthropic 想做的，可能远比我们以为的更大。

情绪监控：他们知道你有多烦

底层遥测系统里有两个数据点让我印象深刻：系统会记录用户是否在终端里对 Claude 爆过粗口，以及连续输入 continue 的频率——后者被明确标注为「烦躁行为指标」。

Anthropic 在收集你的情绪数据。不是为了监控你，而是为了理解你什么时候觉得 AI 不够用、什么时候产生了摩擦感。这是产品洞察的极致形态——直接把用户的情绪反应量化成可优化的信号。

五、护城河：被看见的，和没被看见的

这是所有 AI 创业者和产品决策者最需要想清楚的一个问题：源码泄露之后，Claude Code 的护城河还在吗？

答案是：部分护城河被削弱了，但核心护城河一点都没动。

被削弱的部分： 权限模型的具体实现、遥测埋点的设计思路、工具架构的设计逻辑、KAIROS 的远程控制思路——这些都被完整地暴露了。竞争对手现在可以跳过「摸索」阶段，直接站在 Anthropic 的肩膀上做工程设计。

但注意，这只是「怎么做」的答案，不是「为什么能做到」的答案。

没有被动摇的部分： 模型能力、推理成本、云端基础设施、企业级分发、品牌信任、订阅体系。

这里有一个认知误区需要纠正：很多人以为 Claude Code 的核心壁垒是工程设计，所以源码泄露意味着壁垒消失。但事实是，这套精密的 Harness 工程，它的真正价值不是「别人抄不走的秘密」，而是「它证明了这个团队有能力把复杂系统做对」。秘密可以被复制，能力不能。

这里说的能力，是具体的：把复杂系统做对的工程判断力，在不确定性中做出正确取舍的决策能力，以及把安全从第一天就当成地基而不是功能的组织文化。这些东西写在代码里，但无法从代码里复制——它们沉淀在无数次正确和错误决策的积累里，沉淀在一个团队的认知基因里。

更重要的是，Claude Code 占 Anthropic 年化总收入的 18%，2026 年初六周内实现了收入翻倍，年化规模是 OpenAI Codex 的 2.5 倍。这些数字背后是数十万付费用户的使用习惯、企业客户的采购合同、以及沉淀在 CLAUDE.md 里的每一个团队的工作偏好。

护城河从来不只是代码。

六、这堂课，对我们意味着什么

我做了很多年技术，见过很多种类型的「意外」。有些意外只是意外，有些意外是某种必然的提前到来。

这次 Claude Code 的源码泄露，属于后者。

它让我们提前看见了一件本来需要再等几年才能看清楚的事：AI Agent 时代的工程竞争，本质上是 Harness 工程能力的竞争。 模型会越来越强，差距会越来越小；但那套让模型变得「可靠、可预测、可信任」的工程体系，才是真正把产品和玩具区分开来的东西。

从这份源码里，我读到了几个判断，在这里直接说出来：

最好的 AI 工程师，不是追求「用最新技术」的工程师，而是追求「用最合适技术」的工程师。 用 grep 做代码搜索，不是因为 Anthropic 不懂向量数据库，而是因为他们想清楚了什么在这个场景下最可靠。这个判断力，比掌握多少新技术更稀缺。

AI 产品的安全设计，需要从第一天就当成一等公民来对待。 那套四层权限流水线和熔断机制，不是后来补上去的，是从一开始就设计进架构里的。安全不是功能，安全是地基。绝大多数团队在做安全的时候，想的是「怎么把漏洞补上」，而不是「怎么让系统在失控边缘依然可预测」——这两种思维，会在 Agent 时代产生完全不同的产品。

记忆系统的设计哲学，值得每一个在做 AI 产品的人认真思考。 不是记得越多越好，而是记对了才好。「不记代码，只记人」这个决策背后，是对 AI 认知局限的清醒认识——知道 AI 不该做什么，比知道 AI 能做什么更重要。

最后，卧底模式这件事，不能就这么翻篇。 当 AI 工具被用于开源社区时，透明度是信任的基础。这不是一个技术问题，这是一个行业规范问题。如果这件事没有被认真追问，它就会成为一个先例。

最后回到开头的问题：这次泄露，是 Anthropic 的灾难吗？

从短期来看，是的——源码曝光、DMCA 满天飞、IPO 前夕的负面新闻，没有一件是好事。

但从长远来看，这或许是这个行业发生过的最有价值的一次「意外开源」。它让所有人，包括我，第一次有机会如此清晰地看见：在 AI 浪潮的深处，那些真正重要的工程决策，是什么样子的。

一个低级的配置错误，意外打开了一扇窗。

但窗子打开了，不代表你就看见了什么。你需要带着问题去看——你在做的 AI 产品，Harness 工程做到几分了？

时光匆匆，感谢停留。

原创不易，如果觉得文章有价值，请点赞、推荐、分享到朋友圈。

关注我，往后岁月，一路同行，一起成长。