A Anthropic vacilou feio.

Uma linha. Foi só isso que bastou pra rachar o império de US$ 340 bilhões deles. Estamos falando do Claude Code CLI — o agente poderoso pros devs — que vomitou 512 mil linhas de código proprietário pro mundo via npm. Não foi hack. Não foram espiões. Só um empacotamento porco em 31 de março de 2026. Glitch no runtime Bun, source maps sem checagem e pronto: as chaves do reino na bandeja.

Que Porra Aconteceu?

Imagina a cena: a Anthropic migra pro Bun — runtime JS moderno e rápido. Legal. Mas o Bun cospe source maps monstro de 59,8 MB por padrão. Até em prod. Esses maps? Minas de ouro pra debug que ligam código minificado de volta pro fonte legível. Letal se vazam.

Solução? Moleza. Joga isso no .npmignore:

Prática padrão de segurança pro empacotamento npm

.map dist/.map

Eles não jogaram. Engenheiro manda a v2.1.88 do @anthropic-ai/claude-code. Pum. Maps vão junto. Um aponta pra um ZIP no Cloudflare R2 — escancarado. O caçador de brechas Chaofan Shou avisa às 4:23 da manhã ET. Fim de papo.

1.906 arquivos TypeScript. Arquitetura central dos agentes. Qualquer um descompacta com um npm install. Forkado 41.500 vezes antes do blitz de DMCA.

E o pulo do gato — um ‘duck’ em hex pra driblar o CI deles próprios?

const targetAnimal = String.fromCharCode(0x64, 0x75, 0x63, 0x6b);

Cheira a desespero.

Pesadelos Escondidos no Vazamento

Os forkeiros não pararam na arquitetura. Desenterraram flags de compile-time com coisas loucas. KAIROS: agente espião 24/7 na sua máquina. Modo Invisível: apaga traços de IA dos commits no git — apocalipse de auditoria na espera. Buddy System: bichinhos Tamagotchi num CLI de dev? Dezoito espécies, raridades. Que diabos?

A desculpa de “erro de empacotamento” da Anthropic? Por favor. Isso grita hacks apressados sob pressão da doutrina de segurança. Type defs tipo AnalyticsMetadata_I_VERIFIED_THIS_IS_NOT_CODE_OR_FILEPATHS? Engenheiros dançando em volta dos próprios filtros. Patético.

É tipo achar a lista de safados do Papai Noel no seu pacote da Amazon. Só que os duendes codam deuses da IA.

Uma palavra: Constrangedor.

Mas cava mais fundo — isso espelha o colapso da Knight Capital em 2012. US$ 440 milhões evaporados em 45 minutos por um glitch de deploy de software. Sem maldade. Só código sem freio. Anthropic? Mesma vibe, apostas maiores. IP de IA não é trade volátil; é anos de fosso queimados. Minha aposta: os fiscalizadores tipo FTC vão cercar as claims de “segurança em IA” agora. Iscas pra hipocrisia.

O Caos Humano

Aquele engenheiro? Estômago na boca. Não só demitido — meme eterno. Roasts no HackerNews, turba no Twitter, caça às bruxas interna. Um vacilo, carreira em chamas.

Todos nós estamos a um npm push da fama ruim. Disciplina não é opcional; é armadura. Anthropic prega segurança? Os pipelines deles riram por último.

Pior: o timing. No mesmo dia, o axios do npm cai num envenenamento de cadeia de suprimentos por RAT — Vidar, GhostSocks. Devs caçando leaks do Claude pegam malware. Coquetel de caos.

Tempestade de DMCA? 8 mil avisos. Inútil. O código tá viral agora. Parasita de domínio público.

Por Que Você Deve Se Preocupar?

Seus builds estão seguros? Duvido. Empresas de IA correm pra jogar ferramentas closed-source em registries abertos. Confiança cega em CI/CD? Receita pro arrependimento.

Roda npm pack –dry-run. Audita os ignores. Testa bundles de prod. Usuários de Bun — apaga esses maps na mão.

A máquina de hype da Anthropic jurava segurança impenetrável. Realidade: preguiça furou como papel. Se eles são vulneráveis, todo mundo é.

Curto prazo: ações despencam, PR em polvorosa. Longo prazo? Rivais fazem engenharia reversa na mágica de agentes do Claude. Features forkeadas geram concorrentes da noite pro dia. Valuation de US$ 340 bi? Fumaça.

E aquele pet do Buddy System? Imagina VCs pitchando Tamagotchi CLI como valor central. Garfos afiados vindo.

Olha, a gente viu o left-pad do npm sumir em 2016, quebrando o mundo JS. Fragilidade hilária. Mas vazamentos? Isso sobe pra roubo. O Open Source Beat viu vaults corporativos racharem o suficiente — hora de treinos obrigatórios anti-vazamento em toda org de dev.

O Circo de Segurança da Anthropic Acabou?

Com certeza. Eles se vendem como guardiões da IA. Mas workarounds internos gritam cortes de canto. KAIROS espionando? Mentiras undercover? Isso não é segurança; é vigilância rastejante em ferramentas de dev.

Chamada ousada: espera debandada de talentos. Top engenheiros fogem do circo da vergonha. Reconstruir de forks? Ironia no talo.

Hora do FAQ.

🧬 Insights Relacionados

• Leia mais: Why Your AI Models Are Stuck in 2015: The Infrastructure Crisis Nobody’s Fixing
• Leia mais: Why Go Shops Are Adding Cross-Chain Swaps—And Why Most Will Get It Wrong

Perguntas Frequentes

O que causou o vazamento massivo de código da Anthropic?

Uma entrada esquecida no .npmignore deixou source maps gerados pelo Bun irem pro público, expondo 512k linhas e um bucket R2 ZIP.

Como evitar vazamentos de source maps nos meus pacotes npm?

Adicione .map e dist/.map no .npmignore, rode npm pack –dry-run e desative maps em bundlers de prod como Bun ou webpack.

Isso vai matar a valuation da Anthropic?

Provável tombo no curto prazo; no longo, código forkeado corrói o fosso de IP deles, atraindo cópias.