Claude Code 源码泄露:Agent 系统内部设计首次曝光

一次意外的 npm map 文件打包，暴露了 Anthropic 最核心的 Agent 架构

───一、凌晨四点的更新，一场意外的泄露2026 年 3 月 31 日凌晨 4 点，Anthropic 推送了 Claude Code 2.1.89 版本的软件更新。和往常一样，这次更新包含了 9 个 flag 变更和 52 个 CLI 变更。但谁也没想到，一个 调试用的 map 文件被意外打包进了 npm registry。就是这个 map 文件，泄露了 Claude Code 的完整源码。

───

二、泄露内容：不只是代码，是设计思想

安全研究员 @Fried_rice在 X 上第一时间发出了警报：
“Claude code source code has been leaked via a map file in their npm registry!”

随后，完整源码被上传到 Mega，链接在技术社区疯传。

但这次泄露的真正价值，不在于代码本身，而在于它首次曝光了 Anthropic 的 Agent 系统内部设计。

───

三、/buddy：Kawaii 风格的 Agent 伙伴系统

源码中，一个名为 /buddy的系统引起了开发者们的注意。

从代码结构看，这是 Claude Code 内部的 Agent 伙伴系统，负责工具调用和任务协调。
有趣的是，系统内部注释和变量命名充满了 Kawaii（可爱）风格，暗示这可能是一个对话式、拟人化的 Agent 框架。

“/buddy系统不是冷冰冰的工具调用引擎，而是一个有性格的伙伴。”一位分析源码的开发者写道。

───

四、PreToolUse hooks：Agent 的“暂停思考”机制在工具调用流程中，Claude Code 设计了一套 PreToolUse hooks。这套钩子允许系统在工具执行前进行拦截，并可以返回 ‘defer’状态，暂停无头工具调用，等待用户确认后再继续。这意味着什么？意味着 Claude Code 的 Agent 不是盲目执行命令，而是具备“暂停思考”的能力。它会在关键时刻停下来，问用户：“你确定要执行这个操作吗？”这种设计，正是当前 AI 安全领域最前沿的 可中断自主性（Interruptible Autonomy）理念的实践。───五、PermissionDenied hook：Agent 的“争取”逻辑另一个关键设计是 PermissionDenied hook。当自动模式分类器拒绝某个工具调用时，这个 hook 会被触发，并可以返回 {retry: true}，让系统重新评估。通俗地说：Agent 被拒绝后不会直接放弃，而是会“争取”一下，提供更多上下文或调整请求方式，试图获得执行权限。这反映了 Anthropic 对 Agent 行为的设计哲学：有限自主，但积极协作。

───六、自动模式分类器：安全层的核心逻辑源码中还暴露了 自动模式分类器的内部逻辑。这个分类器是 Claude Code 安全层的核心，负责判断某个工具调用是否安全，是否应该被允许。从代码看，分类器综合考虑了：• 工具的危险等级• 用户的历史行为• 当前上下文的风险评估• 系统全局的安全策略“这是第一次看到顶级 AI 公司如何在实际产品中实现工具调用安全。”一位安全研究员评论道。───七、技术社区的“教科书时刻”泄露发生后，技术社区的反应可以用“疯狂”来形容。• 安全团队连夜分析潜在漏洞• AI 工程师将源码当作“免费的设计教科书”• 开源社区讨论是否基于泄露代码创建分支版本一条高赞推文写道：“Anthropic 意外泄露了整个源码。接下来发生的事情，是科技史上最疯狂的故事之一。”───八、泄露背后的行业启示这次泄露，意外地成为了 AI Agent 架构设计的公开课。1. 安全不是事后添加，而是内置设计从 PreToolUse hooks 到自动模式分类器，安全机制贯穿 Agent 执行的全流程。2. Agent 应该有“人格”/buddy系统的 Kawaii 风格提示，未来的 Agent 可能不再是工具，而是有性格、有风格的协作伙伴。3. 可中断自主性是必然趋势PreToolUse hooks 的 ‘defer’ 设计，代表了行业共识：Agent 的自主性必须能被用户随时中断和控制。4. 开源与闭源的边界正在模糊
一次意外泄露，就让闭源系统的核心设计变成了公开资料。这可能会加速 AI 架构知识的民主化。───九、未来影响：安全风险与创新浪潮短期风险• 攻击者可能利用源码中的漏洞• 竞争对手快速模仿 Claude Code 的 Agent 设计• Anthropic 面临品牌和信任危机

长期影响• Agent 设计标准化：Claude Code 的架构可能成为行业参考• 安全范式普及：PreToolUse hooks 等设计会被更多公司采纳
• 社区创新加速：开源社区基于泄露代码创建改进版本

───

十、结语：意外的礼物

Claude Code 的这次源码泄露，表面上是安全事故，实质上却是一次 意外的行业教育。

它让我们看到，顶级 AI 公司如何在实际产品中平衡：

• 自主性与安全性
• 效率与可控性
• 工具能力与用户体验

也许多年后回头看，这次泄露会成为 AI Agent 发展史上的一个转折点——不是因为它暴露了代码，而是因为它暴露了思想。

Agent 的未来，不是越自主越好，而是在安全框架内的有限自主。
Claude Code 的这次意外，正在帮整个行业看清这条路。

───

本文基于 X（Twitter）公开讨论及泄露信息整理，不代表任何官方立场。
所有技术分析仅供参考，实际产品以官方发布为准。

───