보안 연구자가 Anthropic Claude Code npm 패키지에서 59.8MB 소스맵 파일을 통해 512,000줄 전체 소스 코드가 유출된 사실을 발견했다

Context

Claude Code 2.1.88 버전의 npm 패키지에서 .map 파일이 의도치 않게 포함되었다. 이 파일은 TypeScript 소스 코드와 Cloudflare R2 스토리지의 zip 아카이브 위치를 직접 참조했다. Anthropic은 2025년 2월에도 동일한 문제로 패키지를 회수한 바 있다. 16개월 후 같은 실수가 반복 발생했다.

Technical Solution

• Anthropic 내부 직원용으로 utils/undercover.ts에 Undercover Mode 시스템 구축
• 공개/오픈소스 저장소에 기여 시 모든 Anthropic 관련 정보 자동 제거
• 내부 모델 코드네임(Capybara, Tengu 등), 버전 번호, repo명 striping
• Co-Authored-By footer 및 Claude Code 표시 제거
• 환경변수 USER_TYPE === 'ant' 조건으로 자동 활성화

Impact

유출 후 수시간 내 GitHub에 미러링되었으며, 29,000개 stars와 40,200개 forks 발생. Fortune, VentureBeat, The Register, Cybernews에서 기사화.

Key Takeaway

Anthropic은 자신들의 코드를 보호하기 위한 Undercover Mode를 구현했지만, 정작 소스맵 자체의 유출은 방지하지 못했다. 개발 도구의 빌드 파이프라인에서 sourcemap 포함 여부를 검증하는 단계가 필수적이다.