Claude Codeのソースコード51万行が漏洩──「たまごっち」と「常駐エージェント」が示すAIツールの未来

2026年3月31日、AnthropicのAIコーディングツール「Claude Code」のソースコードが、npmパッケージの設定ミスにより全世界に公開された。51万2000行、1900ファイル超のTypeScriptコードが、誰でもダウンロードできる状態になっていた。

何が起きたのか
漏洩で見えた「44の隠し機能」
ビジネスパーソンが知っておくべきこと
ソース

何が起きたのか

原因はシンプルだ。npmにパッケージを公開する際、本来除外すべき「ソースマップ」ファイル（.mapファイル）がそのまま含まれていた。このファイルは本番コードと元のソースコードを紐づけるデバッグ用のもので、.npmignoreに1行追加するだけで防げたはずのミスだった。

セキュリティ研究者のChaofan Shou氏が発見し、数時間でGitHubにミラーが複数立ち上がった。Anthropicは声明で「内部ソースコードが含まれていた」と認め、修正版をリリースした。

漏洩で見えた「44の隠し機能」

最も注目を集めたのは、外部ビルドから完全に除外されていた44のフィーチャーフラグだ。中でも話題になった3つを紹介する。

1. Buddy（たまごっちペット）

ターミナルに住む「AIペット」だ。アヒル、ドラゴン、カピバラなど18種のキャラクターが、レア度別（コモン〜レジェンダリー）にガチャのように割り当てられる。ユーザーIDからハッシュ値で決定されるため、同じアカウントなら必ず同じペットが生まれる。ステータスには「CHAOS」「SNARK（皮肉）」「WISDOM」などがあり、Claudeが初回にペットの名前と性格を生成する。4月1日〜7日のティーザー期間を経て、5月に正式リリース予定だったとみられている。

2. KAIROS（常駐エージェント）

ユーザーの入力を待たずに、バックグラウンドで「観察・判断・行動」を続ける自律型エージェントモードだ。日次のログファイルに観察結果を記録し、夜間にメモリを統合する「/dream」機能も含まれていた。AIが「常にそこにいて、気づいたことに自ら対処する」世界が、すでにコードレベルでは実装されていたということだ。

3. Coordinator Mode（マルチエージェント）

1つのClaudeが複数のワーカーClaudeを並列で管理する「チーム運営」機能だ。タスク配分、結果の統合、ワーカー間の競合解決まで行う。AIアシスタントではなく「AIチーム」のインフラとなる仕組みが、すでにできていた。

ビジネスパーソンが知っておくべきこと

この漏洩は、セキュリティ事故であると同時に、AI開発ツールの進化がどこまで来ているかを示す「ロードマップの公開」でもあった。

注目すべきは、Claude Codeがすでに年間換算25億ドルの売上を達成していること。そして売上の80%が企業ユーザーから来ていること。つまり「AIコーディングツール」は個人の趣味ではなく、企業のインフラになりつつある。

たまごっちは遊び心だが、KAIROSとCoordinator Modeは本気だ。AIが「待つ」ツールから「動く」インフラに変わろうとしている。その設計図が、世界中の開発者の目に晒された。競合他社にとっては「2500億円相当のR&D資産」が無料で手に入った形だ。

なお、今回漏洩したのはCLI（コマンドラインツール）のソースコードであり、AIモデルの重み（学習データ）やユーザーの会話データは含まれていない。ただし、npmインストール時に別のサプライチェーン攻撃（悪意あるaxiosパッケージ）のリスクも報告されているため、Claude Codeユーザーは最新版（2.1.89以降）への更新と、ネイティブインストーラーへの移行が推奨されている。