--- title: "Claude Code Source-Map-Leak: was der Quellcode über KI-Agents verrät" url: https://coding9.de/blog/claude-code-source-map-leak-architektur author: "Felix Astner" datePublished: 2026-03-31T00:00:00.000Z dateModified: 2026-03-31T00:00:00.000Z description: "Anthropics Claude Code Quellcode wurde versehentlich geleakt: 512.000 Zeilen, Multi-Agent-System, Memory-Architektur. Was Entwicklungsteams daraus lernen." --- # Claude Code Source-Map-Leak: was der Quellcode über KI-Agents verrät Am 31. März 2026 hat Anthropic mit Version 2.1.88 des npm-Pakets **@anthropic-ai/claude-code** versehentlich eine 59,8 MB große Source-Map-Datei mitveröffentlicht. Source Maps ordnen minifizierten JavaScript-Code den originalen TypeScript-Quellen zu - sie sind ein Standard-Debugging-Werkzeug und normalerweise nicht für die Öffentlichkeit bestimmt. Durch einen klassischen Packaging-Fehler (die Datei wurde nicht in **.npmignore** ausgeschlossen) war die komplette interne Codebase von Claude Code rekonstruierbar: rund 2.000 TypeScript-Dateien mit über 512.000 Zeilen Code. Der Security-Forscher Chaofan Shou meldete den Fund auf X, innerhalb von Stunden existierten mehrere GitHub-Mirrors. Anthropic bestätigte: ein Release-Packaging-Fehler durch menschliches Versagen - kein Hack, keine Kundendaten, keine Credentials betroffen. Die Version wurde vom npm-Registry entfernt. Wichtig zur Einordnung: Betroffen ist der Client-seitige Agent-Harness, **nicht** die Claude-Modelle. Weights und Training-Code stecken nicht im Paket. Der Harness ist die Software, die Claude Code als Produkt ausmacht: Tool-Orchestrierung, Memory-System, Multi-Agent-Koordination und Terminal-UI. Für Entwicklungsteams - besonders solche, die selbst KI-Agenten bauen oder einsetzen - ist der Leak eine seltene Gelegenheit, die Architektur eines der ausgereiftesten KI-Coding-Agents von innen zu verstehen. Dieser Beitrag fasst die wichtigsten Erkenntnisse zusammen. ## Was Claude Code eigentlich ist - und was nicht Claude Code ist Anthropics agentisches CLI-Tool - ein Terminal-basierter KI-Coding-Agent, der den gesamten Codebase versteht, Dateien bearbeitet, Bash-Befehle ausführt und komplexe Entwicklungsaufgaben autonom erledigt. Unter der Oberfläche steckt ein durchorchestriertes System, das LLM-Aufrufe, Tool-Calls, Dateisystem-Zugriffe und Sub-Agenten koordiniert. Der Quellcode zeigt: Claude Code ist intern deutlich komplexer als die meisten vergleichbaren Tools. Die Query-Engine allein umfasst rund 46.000 Zeilen Code, das Tools-System weitere 40.000. Zum Vergleich: Viele Open-Source-Coding-Agents kommen mit 5.000–10.000 Zeilen aus. ## Die Architektur im Detail: Was der Quellcode zeigt ### Technischer Stack: Bun, Ink und native Installer Claude Code läuft auf **Bun** (Anthropic hat den Bun-Runtime akquiriert) statt auf Node.js. Die Terminal-UI basiert auf **Ink** - einem React-Framework für Terminal-Interfaces, das reaktive, komponentenbasierte UIs im Terminal ermöglicht. Die Installation erfolgt per nativem Installer (curl | bash) mit Auto-Updates und Binär-Datei, was npm-Supply-Chain-Risiken minimiert. ### Query-Engine: 46.000 Zeilen für LLM-Orchestrierung Die zentrale Schaltstelle: Die Query-Engine handhabt Streaming, Prompt-Caching, Token-Zählung, Tool-Loops und Fehlerbehandlung. Sie enthält außerdem Anti-Distillation-Maßnahmen - Fake-Tool-Definitionen werden in API-Requests injiziert, um Scraping und Kopieren durch Konkurrenten zu erschweren. **Für Entwicklungsteams relevant:** Die Query-Engine zeigt, wie viel Engineering nötig ist, um einen LLM-Agent zuverlässig zu machen. Einfaches Tool-Calling reicht nicht: Erst Fehlerbehandlung für abgebrochene Streams, Token-Management und Caching-Strategien machen aus einem Demo ein Produktivsystem. ### Tools-System: 40 modulare Werkzeuge mit Sicherheitsschichten Claude Code verfügt über rund 40 modulare Tools in einer Plugin-Architektur: Datei-Lesen und -Schreiben, Bash-Ausführung (mit über 2.500 Zeilen Sicherheits- und Validierungslogik), Web-Zugriff und Sub-Agent-Spawning. Jeder Tool-Call durchläuft strenge Prüfungen - Permissions, Sandboxing und Regex-basierte Erkennung potenziell gefährlicher Befehle. Allein die Bash-Sicherheitsschicht umfasst 2.500 Zeilen Code, die verhindern, dass ein Agent versehentlich **rm -rf /** ausführt oder sensible Dateien überschreibt. Für jedes Team, das KI-Agenten mit Dateisystem- oder Shell-Zugriff baut, ist das ein Blueprint für Defense-in-Depth. ### Multi-Agent-Orchestrierung: Koordinator und Worker Eine der architektonisch interessantesten Komponenten: Claude Code nutzt ein prompt-basiertes "Swarms"-System, bei dem ein Coordinator-Agent beliebig viele Sub-Agents ("Worker") spawnen kann. Jeder Sub-Agent bekommt eigene Context- und Tool-Rechte. Das ermöglicht parallele Aufgaben: Ein Agent refactored das Backend, ein zweiter schreibt Tests, ein dritter kümmert sich um die Dokumentation - gleichzeitig. Für E-Commerce-Projekte ist das direkt nutzbar: Shopware-Plugin-Entwicklung, Theme-Anpassungen und API-Integrationen könnten parallel von spezialisierten Agenten bearbeitet werden, statt sequentiell von einem einzelnen Entwickler. ### Self-Healing Memory: Das Gedächtnis, das sich selbst repariert Der technisch interessanteste Teil des Leaks: Claude Codes Memory-Architektur löst das klassische "Context-Entropy"-Problem - die Tatsache, dass KI-Agenten in langen Sessions zunehmend den Überblick verlieren, weil der Kontext wächst und irrelevante Informationen sich ansammeln. Die Lösung ist ein Drei-Schichten-Modell: 1. **MEMORY.md** - ein leichtgewichtiger Index mit Pointern auf detailliertere Informationen. Jeder Eintrag maximal 150 Zeichen. Wird immer geladen. 2. **On-Demand-Topic-Files** - detaillierte Erinnerungen zu bestimmten Themen, die nur bei Bedarf geladen werden. 3. **Raw Transcripts** - vollständige Gesprächsprotokolle, die per Suche durchforstet werden können. Entscheidend ist die "Strict Write Discipline": Agenten dürfen Memory nur nach einem erfolgreichen File-Write aktualisieren und behandeln gespeicherte Informationen immer als Hinweis - sie validieren gegen die aktuelle Codebase, bevor sie darauf basierend handeln. Das verhindert, dass veraltetes Wissen zu falschen Entscheidungen führt. ## Versteckte Features: KAIROS, Dream Mode und ein Terminal-Pet Der Quellcode enthält mehrere noch nicht veröffentlichte Features, die zeigen, wohin Anthropic Claude Code entwickeln will: - **KAIROS** - ein autonomer Daemon-Modus, bei dem der Agent auch ohne User-Input im Hintergrund arbeitet: Fehler behebt, Tasks erledigt und Push-Benachrichtigungen schickt. Quasi ein "Always-On"-Entwickler, der das Repository überwacht. - **Dream Mode** - im Leerlauf konsolidiert der Agent sein Memory, löst Widersprüche in gespeichertem Wissen und verfeinert Implementierungsideen. Eine Art "Schlafmodus", in dem der Agent sein Wissen aufräumt. - **Buddy / Terminal-Pet** - ein kleines Terminal-Maskottchen mit Stats wie "CHAOS" und "SNARK", gedacht für User-Engagement. Technisch interessant, aber vor allem ein Zeichen dafür, dass Anthropic an der Nutzer-Bindung arbeitet. - **Undercover Mode** - ein spezieller System-Prompt für Open-Source-Beiträge, der verhindert, dass Modellnamen oder Anthropic-Referenzen in Git-Commits und Code-Kommentaren landen. ## Was das für Entwicklungsteams und E-Commerce-Projekte bedeutet Der Leak hat drei praktische Implikationen: **1. KI-Coding-Agents sind weiter als die meisten denken.** Claude Code ist ein produktionsreifes, multi-threaded Agenten-System mit über 500.000 Zeilen Code. Die Multi-Agent-Orchestrierung und das Memory-System zeigen, dass ein einzelnes Chat-Fenster nicht mehr die Arbeitsform ist. Für E-Commerce-Teams heißt das: Der Einsatz von KI-Agents für Shopware-Plugin-Entwicklung, Magento-Migrationen oder API-Integrationen ist nicht mehr experimentell - die Infrastruktur dafür existiert. **2. Die Architektur-Patterns sind jetzt öffentlich.** Das Memory-System, die Tool-Sicherheitsschichten und die Multi-Agent-Koordination sind keine Geheimnisse mehr. Open-Source-Projekte und Konkurrenten (Cursor, Windsurf, Aider) werden diese Patterns adaptieren. Das senkt langfristig die Einstiegshürde für Teams, die eigene KI-Agents bauen wollen - etwa spezialisierte Agents für den eigenen Tech-Stack. **3. Supply-Chain-Security bleibt ein Thema.** Der Leak selbst war ein simpler .npmignore-Fehler: menschliches Versagen bei der Paketierung, ohne Hack und ohne ausgenutzte Schwachstelle. Das ist ein Reminder für jedes Team, das npm-Pakete veröffentlicht: Prüfen Sie, was tatsächlich im publizierten Paket landet. Tools wie **npm pack --dry-run** zeigen vor der Veröffentlichung, welche Dateien enthalten sind. ## Einordnung: Leak ist kein Sicherheitsvorfall Zum Schluss die wichtigste Einordnung: Der Source-Map-Leak betrifft ausschließlich den Client-Code von Claude Code - den Agent-Harness, nicht die Modelle selbst. Keine Modell-Weights, keine Trainingsdaten, keine Kundendaten und keine API-Keys wurden exponiert. Anthropic hat schnell reagiert und die betroffene Version entfernt. Was bleibt, ist ein Einblick in die Architektur eines der fortschrittlichsten KI-Coding-Tools. Ein vergessener Eintrag in einer Ignore-Datei hat 512.000 Zeilen Code öffentlich gemacht. Wer im E-Commerce-Bereich mit sensiblem Code arbeitet, sollte das als Anlass nehmen, die eigenen Build- und Release-Pipelines auf ähnliche Lücken zu prüfen. --- Quelle: [Claude Code Source-Map-Leak: was der Quellcode über KI-Agents verrät](https://coding9.de/blog/claude-code-source-map-leak-architektur)