近兩千份文件、超過五十萬行 TypeScript 代碼，全部暴露在公開網(wǎng)絡(luò)上。這是迄今為止 AI 頭部公司中規(guī)模最大的源碼意外公開事件之一。

率先發(fā)現(xiàn)并公開披露這一「漏洞」的，是開發(fā)者 Chaofan Shou（壽超璠）。

開發(fā)者 @realsigridjin 動作極快，第一時間將泄露的源碼備份至 GitHub，倉庫名為 instructkr/claude-code，標(biāo)注為「Claude Code Snapshot for Research」。

倉庫上線僅兩小時，stars 數(shù)量便突破五萬，創(chuàng)下 GitHub 有史以來最快達(dá)成這一里程碑的紀(jì)錄。

附上 Github 地址 https://github.com/instructkr/claude-code

事情起因于 Anthropic 在一次 Claude Code 版本發(fā)布中，誤將 source map 調(diào)試文件一并打包并發(fā)布到公開的軟件包倉庫。

該 source map 文件暴露了原始源碼歸檔的位置，外界隨后可據(jù)此訪問 Anthropic 云端存儲中的源碼壓縮包并下載。

Anthropic 官方隨后回應(yīng)，此次事件屬于「打包環(huán)節(jié)的人為失誤」，并非安全入侵，沒有任何用戶數(shù)據(jù)或憑證遭到泄露。Claude Code 之父 Boris Cherny 也在 X 上簡短留言，確認(rèn)這只是「開發(fā)者的操作失誤」。

消息發(fā)酵后，馬斯克也來湊了個熱鬧，轉(zhuǎn)發(fā)網(wǎng)友調(diào)侃 Anthropic 現(xiàn)在比 OpenAI 更開放的帖子，并留下一句「太絕了」。

值得一提的是，發(fā)現(xiàn)這次泄露的 Chaofan Shou，是一位履歷相當(dāng)亮眼的華人安全研究員，GitHub 用戶名為 shouc，X 賬號為 @shoucccc。

據(jù)其 LinkedIn 資料，2019 年他進(jìn)入加州大學(xué)圣塔芭拉分校攻讀計算機(jī)科學(xué)本科，僅用約 2 年時間便完成全部學(xué)業(yè)，以滿績點 4.0 提前畢業(yè)。學(xué)歷一欄的備注只有兩個字：「too easy」。

有網(wǎng)友算了一筆賬，這相當(dāng)于每學(xué)期都維持高考沖刺強度，連續(xù)三年每門課都拿最高分。

本科畢業(yè)后，他進(jìn)入加州大學(xué)伯克利分校攻讀計算機(jī)科學(xué)博士，師從程序分析領(lǐng)域知名教授 Koushik Sen，后來選擇退學(xué)創(chuàng)業(yè)。LinkedIn 上的備注同樣簡潔：「dropped out lol（退學(xué)了，哈哈）」。

他早年在 Salesforce 擔(dān)任安全工程師，負(fù)責(zé)靜態(tài)代碼分析工具和數(shù)據(jù)管道的開發(fā)，之后加入 Veridise 主導(dǎo)智能合約自動化測試工具的研發(fā)。

2023 年，他聯(lián)合創(chuàng)辦了 Web3 安全與高頻交易公司 Fuzzland 并擔(dān)任 CTO，該公司后被 Solayer 收購，他隨之出任 Solayer 全職軟件工程師，職位描述一欄寫的是「full-time larping on twitter（全職在推特上演戲）」。

簡單來說，他是在調(diào)侃自己成天在 Twitter 上發(fā)帖刷存在感，自嘲自己不干正事。

Fuzzland 協(xié)助追回了超過 3000 萬美元的被盜鏈上資產(chǎn)，目前保護(hù)和管理的資產(chǎn)規(guī)模超過 50 億美元。他在 GitHub 上的代表項目 ityfuzz 是一個面向智能合約的快照模糊測試工具，累計已獲超過 1100 個 Star。

學(xué)術(shù)層面，他的 Google Scholar 頁面顯示總引用量達(dá) 224 次，h-index 為 6，i10-index 為 4，論文發(fā)表于 CCS、ISSTA、CoNext 等頂級學(xué)術(shù)會議，研究方向涵蓋智能合約模糊測試、Web 安全與分布式系統(tǒng)。

漏洞賞金領(lǐng)域，他從 2016 年便已活躍其中。披露過的漏洞覆蓋 Twitter、Etherscan、Devin.ai、Google Nest 等知名平臺，涉及賬戶劫持、系統(tǒng)接管、用戶行為泄露等多類高危問題，累計獲得漏洞賞金約 190 萬美元。

https://github.com/shouc

過去一年，他在 GitHub 上仍保持著 1159 次提交的活躍節(jié)奏。

此人的身份在社交媒體上引發(fā)廣泛討論后，有網(wǎng)友在評論區(qū)留言：「是壽超璠嘛，這是我高中學(xué)弟阿。」

公開資料也似乎印證了這一線索：他曾就讀上海平和雙語學(xué)校，曾入選中國計算機(jī)學(xué)會（CCF）高校宣傳員名單。

截圖來自公眾號平和教育

網(wǎng)絡(luò)上，甚至流傳著他手繪輔助圖解 AMC10 題目的教學(xué)材料。 當(dāng)然，也不排除存在同名同姓的可能。

有趣的是，Anthropic 把自己包裝成最在乎安全的 AI 公司，而拆穿這層包裝的人，是一個在 GitHub 上自稱「senior script kiddie」的華人程序員。

「script kiddie」在黑客文化里是專門用來嘲笑技術(shù)門外漢的詞，指那些不懂原理、只會照搬工具的人，將這段話貼在自己主頁最顯眼的位置，本意無疑只是調(diào)侃。

但正是這樣一個人 或許是職業(yè)習(xí)慣使然 ，在一次隨手的技術(shù)檢查中，讓 Anthropic 的五十萬行源代碼出現(xiàn)在了所有人面前。

我們正在招募伙伴

簡歷投遞郵箱hr@ifanr.com

?? 郵件標(biāo)題「姓名+崗位名稱」（請隨簡歷附上項目/作品或相關(guān)鏈接）