Claude Code의 전체 소스 코드 유출

블록체인 보안 기업 Fuzzland의 인턴 연구원 Chaofan Shou는 X를 통해 Anthropic의 AI 프로그래밍 도구인 Claude Code의 npm 패키지에 전체 소스 맵 파일(cli.js.map, 약 60MB)이 포함되어 있어, 이를 통해 모든 TypeScript 소스 코드를 복원할 수 있다고 지적했습니다. 검증 결과, 오늘 출시된 최신 버전 v2.1.88에도 여전히 해당 파일이 포함되어 있으며, 여기에는 1,906개의 Claude Code 자체 소스 파일에 대한 전체 코드가 담겨 있어 내부 API 설계, 분석 텔레메트리 시스템, 암호화 도구, 프로세스 간 통신 프로토콜 등의 구현 세부 사항을 포함하고 있다. 소스 맵은 JavaScript 개발에서 압축된 코드를 원본 소스 코드로 매핑하는 데 사용되는 디버깅 파일로, 프로덕션 배포 패키지에는 포함되어서는 안 된다. 2025년 2월, Claude Code 초기 버전도 동일한 문제로 인해 노출된 바 있으며, 당시 Anthropic은 npm에서 구버전을 제거하고 소스 맵을 삭제했습니다. 그러나 이 문제는 이후 다시 발생했으며, GitHub에는 복원된 소스 코드를 추출하고 정리한 공개 저장소가 여러 개 존재합니다. 그중 ghuntley/claude-code-source-code-deobfuscation은 1,000개에 가까운 스타를 획득했습니다. 유출된 것은 Claude Code CLI 도구의 클라이언트 구현 코드이며, 모델 가중치나 사용자 데이터와는 무관하므로 일반 사용자에게는 직접적인 보안 위험이 없습니다. 그러나 전체 소스 코드가 지속적으로 노출됨에 따라 내부 아키텍처, 보안 메커니즘 및 원격 측정 로직이 외부에 완전히 공개된 상태입니다.