Código do Claude vaza; comunidade promete manter segredo

O código do Claude vazau após a Anthropic publicar acidentalmente a versão 2.1.88 do Claude Code no npm, com um mapa de origem JavaScript de 59,8 MB que permite reconstruir o código original a partir da versão compactada.
O lançamento continha um arquivo de depuração que deveria permanecer privado; uma linha nas configurações de ignorar permitiu a publicação. Um estagiário detectou o arquivo e publicou o link de download, que recebeu dezenas de milhões de visualizações.
A Anthropic retirou o pacote, mas a internet já archivou cerca de 512 mil linhas de código em aproximadamente nove mil arquivos, cobrindo parte significativa do projeto.
O vazamento expôs a arquitetura interna do Claude, incluindo orquestração de API de modelos, coordenação multiagente, lógica de permissão e 44 flags de funcionalidade ocultas.
Também houve destaque para desenvolvimentos paralelos no ecossistema, como a criação de repositórios em Python que reescrevem o código, debates sobre direitos autorais e a continuidade de compartilhamento por meio de plataformas descentralizadas.

O vazamento do Claude Code envolvendo a Anthropic ganhou contornos inesperados para a indústria de IA. A versão 2.1.88 do Claude Code foi publicada no registro npm com um mapa de origem JavaScript de 59,8 MB, um arquivo de depuração que pode reconstruir o código original a partir de sua forma compactada. Uma linha de configuração que ignora permitiu a publicação acidental.

Chaofan Shou, estagiário e pesquisador, foi apontado como um dos primeiros a detectar o arquivo e publicou um link de download no X por volta das 5h23. O post atraiu mais de 16 milhões de visualizações, antes que a Anthropic retirasse o pacote, mas já havia archivado parte substancial do código.

A companhia afirmou que o episódio foi um erro de empacotamento causado por falha humana, sem envolvimento de dados de clientes ou credenciais. A publicação expôs a arquitetura interna de Claude, considerada uma das mais sofisticadas soluções de IA de codificação do mercado, incluindo coordenação de APIs, OAuth e 44 flags ocultas.

Desenvolvimento do vazamento

O material revelado mostrou a automação de memória de Kairos, um daemon que registra dados e realiza consolidação de conhecimento. Entre as informações, também houve a divulgação de um recurso chamado Buddy, uma espécie de animal de estimação de IA com várias espécies e atributos de depuração e paciência. Um teaser para esse recurso estava previsto entre 1º e 7 de abril.

Um aspecto que ganhou attention foi o Modo Secreto, um subsistema para evitar que codinomes internos apareçam em repositórios abertos. O prompt do sistema inserido no Claude buscava evitar revelar disfarces, o que motivou pedidos de remoção DMCA contra espelhos do GitHub.

Reações e caminhos legais

Um desenvolvedor sul-coreano criou uma tradução em Python do código, batizada como claw-code, que rapidamente ganhou popularidade no GitHub. A prática foi discutida como uma forma de clean-room reescrita, levantando questões sobre direitos autorais de obras geradas por IA.

A discussão sobre a validade de direitos autorais de obras criadas por IA envolve o status legal atual. O Circuito de DC manteve posições antigas, e a Suprema Corte não analisou o tema recentemente. Caso partes relevantes de Claude Code tenham sido criadas pela própria IA, a conformidade de direitos autorais permanece incerta.

A descentralização da reprodução do código complicou a remoção. Repositórios espelhados em plataformas descentralizadas mantêm o acesso ao código, mesmo com pedidos de remoção. Fontes independentes e plataformas distribuídas passaram a ser essenciais para entender o alcance do vazamento.

O que se sabe sobre o conteúdo vazado

O material inclui a arquitetura de orquestração de IA, coordenação multiagente, lógica de permissão, fluxos OAuth e informações sobre funcionamento de recursos ainda não lançados. Análises sugerem que o conteúdo oferece acesso a estruturas de prompts internos de Claude, o que interessa a profissionais de prompt e de segurança de IA.

A empresa informou que o incidente não envolveu dados sensíveis de clientes, apenas operação de empacotamento. A medida imediata foi remover o pacote do npm e reforçar mecanismos de controle para evitar falhas semelhantes no futuro.