Claude Code 泄露后的回应 流程错误不等于没有风险
核对Paul Smith采访及Boris Cherny公开回应，区分厂商解释、技术原因与尚未证实的细节。
高管采访的时间与说法
彭博4月1日报道：Paul Smith称是流程失误，而非黑客入侵。本文将这句话作为受访者的解释呈现，不当作本站完成的独立取证结论。旧稿把采访列到4月2日，并给出若干未经充分证实的分钟级时间点，本次不再沿用。
团队公开回应补充了什么
Boris Cherny在4月1日原帖中谈到团队应关注流程、文化与基础设施，并明确提及一个本该更好自动化的手工部署步骤。X官方嵌入接口返回了这一段内容，但后半段被截断；本文不据此补写完整改进计划，也不把个人回复扩展为正式调查报告。
客户数据的说法需要归属
Information Age在4月1日的直接采访报道中引述Anthropic：有内部代码被随发布包含，公司称未涉及敏感客户数据或凭据，并将其描述为人为发布打包问题。这是公司当时的声明，不能外推为任何版本、任何用户或未来环境都没有风险；也不能由此证明整个产品安全体系已经通过独立审计。
Source map不是天生不应公开
Source map用于把转换后的代码对应回原始来源，帮助调试。是否公开取决于内容与发布设计，不能笼统说所有map文件都只能用于开发环境。本次没有读取外泄专有代码，因此不确认具体构建工具缺陷、存储桶配置、文件大小或完整因果链，也不把另一起npm事件混作同一原因。
流程解释为什么仍值得重视
即便没有外部攻击，非预期公开也意味着发布边界与预期不一致。工程团队可从自己的系统检查产物清单、调试文件、发布权限和回滚流程；这些是一般性改进建议，不是Anthropic已宣布执行的措施。公告说正在改进，也不等于所有风险已消失或每项修复已独立验证。
用户应关注哪些实际信号
从官方渠道确认所用软件版本和后续公告，不下载所谓泄露版、破解版或修复脚本。若账户有异常，再按官方支持与安全流程处理；不要仅凭新闻就把真实密钥贴到检测网站。阅读后续消息时，分别记录事件事实、公司声明、研究者判断和仍未知部分，避免“不是入侵”被误读成“没有任何安全影响”。
参考来源
资料核对日期：2026-10-04。涉及产品与账户条件时，请以当前官方说明为准。