Claude Code 소스 코드 유출로 드러난 미공개 기능 분석

커뮤니티 반응

유출된 기능들의 혁신성에 놀라워하면서도, 발견된 날짜와 내용의 특이성 때문에 일부 기능은 만우절 장난일 가능성에 주목하고 있습니다.

주요 논점

01찬성다수

유출된 소스 코드의 구조와 구체적인 환경 변수들이 실제 작동하는 기능임을 뒷받침한다.

02중립다수

BUDDY와 같은 일부 기능은 날짜상 만우절용 이스터 에그일 가능성이 매우 높다.

합의점 vs 논쟁점

합의점

소스 맵 파일을 통한 코드 노출은 명백한 배포 설정 오류이다.
Claude Code 내부에는 일반 사용자에게 공개되지 않은 다수의 실험적 기능 플래그가 존재한다.

논쟁점

발견된 기능들이 실제 정식 서비스에 포함될 기능인지, 아니면 내부 테스트용인지에 대한 의견이 갈린다.

실용적 조언

프로덕션 환경 배포 시 소스 맵 파일이 포함되지 않도록 빌드 파이프라인 설정을 재점검해야 한다.
CLAUDE_CODE_COORDINATOR_MODE=1 설정을 통해 현재도 일부 실험적인 병렬 모드 접근이 가능하다.

섹션별 상세

npm 레지스트리에 업로드된 57MB 규모의 cli.js.map 파일을 통해 약 1,884개의 TypeScript 소스 파일이 노출됐다. 이는 빌드된 자바스크립트 코드를 원본 소스로 역추적할 수 있게 하는 설정 오류로 인해 발생한 보안 사고로 확인됐다.

bash

shou@dev claude-code % ls -alht cli.js.map
-rw-r--r--  1 shou  staff   57M Mar 31 01:16 cli.js.map
shou@dev claude-code % ls -alht src
total 2304
drwxr-xr-x   8 shou  staff   256B Mar 31 01:17 entrypoints
-rw-r--r--   1 shou  staff   785K Mar 31 01:17 main.tsx
drwxr-xr-x  55 shou  staff   1.7K Mar 31 01:17 .
drwxr-xr-x  10 shou  staff   320B Mar 31 01:17 cli
drwxr-xr-x 103 shou  staff   3.2K Mar 31 01:17 commands
drwxr-xr-x 331 shou  staff    10K Mar 31 01:17 utils
-rw-r--r--   1 shou  staff    46K Mar 31 01:17 QueryEngine.ts
drwxr-xr-x   3 shou  staff    96B Mar 31 01:17 assistant
drwxr-xr-x  33 shou  staff   1.0K Mar 31 01:17 bridge
drwxr-xr-x   3 shou  staff    96B Mar 31 01:17 coordinator
// ...(중략)

유출된 Claude Code 소스 코드의 디렉토리 구조와 주요 모듈 목록

Claude Code 소스 코드의 디렉토리 구조를 보여주는 터미널 스크린샷 — Screenshot유출된 소스 코드의 src 디렉토리 내부 파일 목록을 보여주며, assistant, bridge, coordinator, tasks 등 본문에서 언급된 핵심 기능들이 별도의 모듈로 구성되어 있음을 입증한다. 특히 cli.js.map 파일의 크기가 57MB에 달해 상세한 소스 정보가 포함되었음을 알 수 있다.

KAIROS 모드는 세션 간 로그를 유지하고 밤새 서브에이전트가 메모리를 통합하는 '꿈(dream)' 기능을 포함한다. 이는 사용자가 잠든 사이 에이전트가 이전 작업 내용을 요약하고 최적화하여 다음 세션의 컨텍스트 효율을 높이는 방식으로 작동한다.

ULTRAPLAN 기능은 복잡한 계획 수립 작업을 최대 30분 동안 원격 Claude 인스턴스로 전송하여 처리한다. 사용자가 브라우저에서 승인한 계획을 다시 로컬 터미널로 가져오는 '텔레포트' 메커니즘을 통해 고성능 추론 자원을 활용한다.

Coordinator Mode는 병렬 워크 에이전트를 생성하여 작업을 분담하고 결과를 XML 알림으로 보고하는 구조를 가진다. 또한 Bridge 기능을 통해 웹이나 모바일 앱에서 로컬 CLI를 원격 제어할 수 있는 기능이 코드상에 구현되어 있다.

Anthropic 직원 전용인 USER_TYPE=ant 설정과 4월 1일 출시 예정인 AI 펫 BUDDY 기능이 발견됐다. BUDDY는 18종의 생물과 능력치를 가진 다마고치 스타일의 기능으로, 날짜 특성상 만우절용 이스터 에그일 가능성이 높다는 분석이 지배적이다.

용어 해설

소스 맵(Source Map): — 컴파일되거나 압축된 자바스크립트 코드를 원본 소스 코드와 연결해주는 파일이다. 디버깅을 돕기 위해 생성되지만, 배포 환경에 포함될 경우 원본 소스 코드가 외부로 노출되는 보안 취약점이 된다.
기능 플래그(Feature Flag): — 새로운 기능을 코드 수정 없이 원격에서 활성화하거나 비활성화할 수 있게 하는 소프트웨어 개발 기법이다. 특정 사용자 그룹에게만 기능을 노출하거나 점진적인 배포를 수행할 때 필수적으로 사용된다.
유닉스 도메인 소켓(Unix Domain Socket): — 동일한 운영체제 내에서 실행 중인 프로세스 간에 데이터를 주고받는 통신 메커니즘이다. 네트워크 소켓보다 오버헤드가 적어 로컬 시스템 내의 효율적인 데이터 교환에 주로 사용된다.
데몬 모드(Daemon Mode): — 사용자가 직접 제어하지 않아도 시스템 백그라운드에서 지속적으로 실행되는 프로세스 운영 방식이다. 서비스의 상태를 모니터링하거나 백그라운드 작업을 처리하는 서버급 애플리케이션에서 핵심적인 역할을 한다.

언급된 도구

GrowthBook SDK중립

원격 기능 플래그 관리 및 A/B 테스트

tmux추천

데몬 모드에서 백그라운드 세션 관리