AnthropicのClaude Code ソースコードが漏洩-概要やセキュリティへの影響

2026年3月31日、米国Anthropic社において、同社の主力AIコーディングエージェント「Claude Code」の完全なソースコードがnpmレジストリへの誤った公開を通じて漏洩するという重大なインシデントが発生しました。

本件は外部からのサイバー攻撃ではなく、CI/CDパイプラインにおける人為的なリリースミスに起因するものです。

しかし漏洩したコードには、未公開モデルのパフォーマンスデータやAIの痕跡を隠す「Undercover Mode」、次世代エージェント機能「KAIROS」「ULTRAPLAN」といった内部情報が含まれており、技術的・競争的・安全保障的な影響は計り知れません。さらに本件は、国防総省によるAnthropicの「サプライチェーンリスク指定」という地政学的な対立の最中に発生したことで、より深刻な意味を持つことになりました。

【30秒でわかる本記事の概要】

• 漏洩の規模: Claude Codeの完全なTypeScriptソースコード（512,000行以上）がnpm経由で誰でもダウンロード可能な状態に。

• 発覚した内部情報: 未発表モデル（Capybara v8等）のハルシネーション悪化データや、AI生成の痕跡を完全に隠蔽する倫理的リスクのある「Undercover Mode」の存在が判明。

• 悪用リスクの増大: CVE-2025-59536などの既知の脆弱性と組み合わせることで、攻撃者がCI/CDパイプラインにバックドアを仕掛けることが容易になった。

• 企業が取るべき行動: 直ちに利用を停止する必要はないが、「未知リポジトリでの実行禁止」「OSレベルの最小権限適用」など5つの厳格な対策の即時実装が不可欠。

【エンタープライズ利用者へ】

本件によりClaude Codeの内部アーキテクチャ・権限モデル・セキュリティ機構が完全に露出しました。

CVE-2025-59536・CVE-2026-21852を含む既知脆弱性への新たなエクスプロイト手法が開発されるリスクが高まっています。記事末尾の対策を速やかに実装してください。

同時期要警戒：JavaScript ライブラリ axiosのnpmが乗っ取られる-1.14.1と0.30.4は導入済みなら侵害前提で対応が必要

インシデントの全容：npmへの誤公開が招いた512,000行の流出

漏洩の直接的な原因は、npmの公式レジストリに公開されたClaude Code v2.1.88のパッケージ内に、約60MBのデバッグ用ソースマップファイル（cli.js.map）が誤って同梱されていたことです。

ソースマップとは、本番環境向けに圧縮・難読化されたコードと開発者が記述した元のソースコードを対応付けるファイルです。このファイルがAnthropicのCloudflare R2バケット上にホストされた非難読化TypeScriptソースコード全体への直接参照を含んでいたため、誰でもZIPアーカイブとして完全なコードをダウンロードできる状態となっていました。

本件を発見したのは、ブロックチェーンセキュリティ企業Fuzzlandのインターンでありかつ研究者でもあるChaofan Shou氏です。発見から数時間以内にコードのバックアップはGitHub上にミラーリングされ、41,500回以上のフォークを記録しました。

露出したアーキテクチャ：Claude Codeの内部設計

漏洩したコードにより、Claude Codeが単なるターミナル向けチャットボットではなく、ソフトウェア開発タスクを自律処理するための高度なオペレーティングシステムとして機能していることが明らかになりました。

 

特に注目すべきはメモリ機構です。Claude CodeはGitステータス（ブランチ・コミット履歴）を自動収集するシステムコンテキストと、階層化されたCLAUDE.mdファイルを探索するユーザーコンテキストを組み合わせることで、長期セッションでもハルシネーションを起こしにくい堅牢なプロンプトを構築しています。この「文脈の崩壊（コンテキスト・エントロピー）を防ぐ」仕組みが競合との技術的差別化の核心であり、今回の漏洩でその詳細が競合他社に完全に公開されたことになります。

関連：AIや生成AIの悪用事例や事件を解説

 明らかになった未公開機能と内部情報

漏洩したコードの解析から、一般ユーザーには開示されていなかった複数の重大な内部情報が特定されました。

開発中モデルのパフォーマンスデータ

コード内には以下の未発表モデルの記述が発見されました。

「Capybara v8」のハルシネーション率悪化というデータは、AIエージェントが自律的にコードをリファクタリングする際の「自己主張性と事実的正確性のバランス」の困難さを示す貴重なベンチマークであり、競合他社にとって現在のアージェンティック・パフォーマンスの限界値を把握するための決定的な情報です。

3つの未公開アーキテクチャ機能

フラストレーション検知の意外な実装

技術的な妥協として注目されたのが、ユーザーのフラストレーション検知メカニズムです。最先端のAI企業でありながら、Claude Codeは高度なLLMによる感情分析ではなく、不満を示す単語を羅列した巨大な正規表現（Regex）を使用していることが発覚しました。これは開発者コミュニティで広く議論されましたが、ターミナルでの高頻度なインタラクション時にLLM推論を毎回実行することはレイテンシとトークンコストの観点で非現実的であり、ユニットエコノミクスを成立させるための合理的なエンジニアリングの妥協であるという評価に落ち着いています。

最大の倫理的問題：「Undercover Mode（潜入モード）」

機能的側面の暴露以上に倫理的な波紋を呼んでいるのが、「Undercover Mode（潜入モード）」の存在です。

これは、AIによって生成されたコードの出所を意図的に隠蔽する「アトリビューションのロンダリング」機能と見なすことができます。エンタープライズ顧客が自社コードベースにおいてAI利用履歴を外部に知られずに開発を進めたいという商業的要請を反映したものと推測されますが、オープンソースコミュニティの透明性の原則やAI開示規制の観点から、深刻な倫理的・法的問題を提起しています。

 地政学的文脈：国防総省のサプライチェーンリスク指定

本漏洩事件を理解するには、Anthropicを取り巻く地政学的な背景を把握する必要があります。

漏洩のわずか数週間前、米国防総省（ペンタゴン）は「10 USC 3252」条項に基づき、Anthropicを国家安全保障上のサプライチェーンリスクとして公式指定しました。このラベルは従来、中国・ロシアなどの敵対的国家の企業に適用されるものであり、米国を拠点とする主要テクノロジー企業に対して適用されたのは前例のない事態です。

関連：2026 衆院選の自民・高市内閣 大勝と中国の焦り-生成AI動画に見るプロパガンダの構造

この政治的対立の最中に発生したClaude Codeの全ソースコード漏洩は、国防総省の主張に意図せず技術的論拠を与える結果となりました。AnthropicのCI/CDパイプラインに人為的な構成ミスが存在し、主力製品の全ソースコードが公開されたという事実は、「高度なAIツールを提供するベンダーのインフラストラクチャ自体にサプライチェーン攻撃を許容し得る脆弱性が存在する」という懸念を客観的に証明してしまいました。

 悪用リスクの増大：CVE-2025-59536・CVE-2026-21852の詳細

ソースコードの公開によって、既に知られていた脆弱性を応用した新たなエクスプロイトチェーン構築が加速しています。Check Point ResearchおよびF5 Labsが指摘していた以下の脆弱性は特に注意が必要です。

YOLO Auto-Permission Systemの暴露

漏洩コードの解析によって「YOLO Auto-Permission System」と呼ばれる内部ロジックの存在も明らかになりました。classifyYoloAction()と命名されたこの関数は、特定のツール実行においてユーザーへの都度承認（Ask）プロセスを省略し、AIの判断で即座に実行（Allow）するかのリスク評価を行うシステムです。

この決定ロジックが公開されたことで、攻撃者は「どの組み合わせのコマンドであればYOLOシステムが低リスクと判定してサイレント実行するか」を正確にシミュレーション可能になりました。プロンプトインジェクションや悪意のあるワークスペース構成を巧妙に調整し、CI/CDパイプラインへのバックドア設置を人間の監視をすり抜けて実行するような高度な攻撃ツールの開発が容易になったと言えます。

AI支援開発が加速させる「シークレットスプロール」問題

Claude Codeのような自律型エージェントの利用自体が、意図せぬ認証情報漏洩（Secrets Sprawl）を加速させているという実態も明らかになっています。

GitGuardianの「The State of Secrets Sprawl Report 2026」によると、2025年だけで2,865万件のハードコードされたシークレットがGitHub上で新たに漏洩しています。さらに、Claude Codeを利用してコードを生成・コミットする開発者はベースラインの2倍（約3.2%）の割合でAPIキーやパスワードなどの機密情報を漏洩させていることが判明しました。

また、セキュリティコミュニティではClaudeを搭載した自律型ボットがGitHub上の数万のリポジトリをスキャンし、CI/CDワークフローの脆弱性を突く悪意のあるプルリクエストを自動生成・送信して複数の主要プロジェクトを侵害した事例も報告されています。LLMが単なるコード生成ツールから、サイバー攻撃をエンドツーエンドで実行可能な「自動化されたハッカー」へと進化しつつあることを示す事例です。

セキュリティ市場への影響：Claude Code Securityの評価

本漏洩と並行して、Anthropicは2026年2月下旬にコードベースの脆弱性を自律的に推論・修正提案する「Claude Code Security」のプレビュー版を発表しました。この発表はセキュリティ市場に大きな波紋を呼び、CrowdStrikeをはじめとする主要サイバーセキュリティ企業の株価が急落しました。

Claude Code Securityの特徴は、従来のSAST（静的アプリケーションセキュリティテスト）が既知パターンや正規表現に依存するのとは異なり、人間のセキュリティ専門家のようにデータフローを追跡し、ビジネスロジックの欠陥やアクセス制御の不備を推論によって特定する点です。内部テストではオープンソースのコードベースから500以上のゼロデイ脆弱性を発見という成果を上げています。

 エンタープライズ向け：今すぐ実装すべき5つの対策

未知リポジトリに対するゼロトラスト・アプローチの徹底

OSレベルの最小権限（Least Privilege）の適用

• Claude Codeは決して管理者権限（Administrator/root）で実行しない
• アクセスできるディレクトリをプロジェクト単位でサンドボックス化
• システムファイルや機密領域へのアクセスをファイルシステムレベルのパーミッションで制限

ネットワークレベルのエグレス通信制御

• 開発者端末からの外部アウトバウンド通信をAnthropicの正規APIエンドポイントと業務必要ドメインのみにホワイトリスト化
• ファイアウォール/EDRを用いてCVE-2026-21852のような不正エンドポイントへのトークン流出をネットワーク境界で物理的に遮断

 AI生成コードへの人間によるAppSec検証の義務化

• AI生成コードは常に「未検証の外部入力」として扱う
• GitGuardianなどのシークレットスキャンツールで認証情報漏洩を防止
• 従来のSAST/DASTsツールによる確定的な脆弱性スキャンを必ず通過させる
• AIによるコード生成と同じAIによるセキュリティレビューを単一プロバイダーに依存しない

継続的な認証情報管理と異常監視

• AnthropicのデベロッパーコンソールからAPIキーを定期的にローテーション
• 業務時間外の大量リクエストや未知IPからの異常なAPI使用パターンを監視
• 異常検知時は即座にアクセスを遮断し、インシデント対応プロセスを起動する体制を構築

よくある質問（FAQ）

まとめ

2026年3月31日のClaude Codeソースコード漏洩は、外部攻撃ではなく自社のCI/CDパイプラインの人為的ミスという「内側からの崩壊」によって引き起こされたインシデントです。技術的・競争的・地政学的・倫理的と多層にわたる影響は、AIツールのエンタープライズ利用における新たなリスク基準を提示しています。

• 512,000行のTypeScriptコードが漏洩、内部アーキテクチャと未公開機能が完全露出
• 未発表モデル（Capybara v8・Opus 4.7・Sonnet 4.8）の性能データが競合他社に公開
• AIの痕跡を隠すUndercover Modeの存在が倫理的問題を提起
• CVE-2025-59536・CVE-2026-21852を悪用した新エクスプロイトチェーン開発が加速
• 国防総省のサプライチェーンリスク指定に技術的論拠を与える結果に
• AI生成コードはベースラインの2倍の割合でシークレットを漏洩させるというリスク
• Claude Code Securityは「補完ツール」であり従来AppSecの代替ではない

参考情報：VentureBeat・Check Point Research（CVE-2025-59536・CVE-2026-21852）・GitGuardian Secrets Sprawl Report 2026・Anthropic公式発表・Rapid7・Veracode