结果开发者装完包，直接在 node_modules 里翻出一个 57MB 的 cli.js.map，里面藏着完整的 TypeScript 源码映射。
不需要反编译、不需要反混淆，sourcesContent 字段里存的就是一字不差的原始代码。
说白了，这不是被黑客攻破，是 Anthropic 自己把源码送出来的。之前老版本就出过一次同样的问题，这次又重蹈覆辙，属实草台班子现场。
后来 Anthropic 意识到了，移除了 source map，GitHub 上的仓库也被 DMCA 了，但早期的 npm 包已经被存档，源码早就在社区传开了。
不过对我们这些搞技术的来说，这波确实是天上掉馅饼。我花了点时间扒了一遍代码，下面分享几个最有价值的发现。
