Bei all dem Gerede über Frontier-KI ist es schon komisch, wie oft die wirklich großen Enthüllungen immer noch aus dem Software-Äquivalent dazu stammen, die Schlüssel in der Tür stecken zu lassen.
Am 31. März 2026 bemerkten Entwickler, dass ein veröffentlichtes npm-Paket für Anthropics Claude Code offenbar eine Source Map enthielt, die auf ein herunterladbares Archiv mit dem nicht obfuskierten TypeScript-Quellcode des Tools verwies. Die Entdeckung wurde zuerst von Chaofan Shou auf X verstärkt und anschließend rasch auf GitHub, Reddit und im gesamten KI-Entwickler-Internet gespiegelt.
Innerhalb weniger Stunden wurde ein zuvor geschlossener kommerzieller Coding-Agent öffentlich auseinandergenommen – wie ein neues iPhone am Tag des Teardowns.
Bild: Chaofan Shou / X
Die naheliegende Geschichte lautet, dass Anthropic einen schlechten Morgen hatte. Die interessantere Geschichte ist, was der Leak offenbar enthüllt: Claude Code ist nicht einfach nur „Claude, aber im Terminal“. Vielmehr wirkt es wie ein Betriebssystem für Softwarearbeit, mit Berechtigungen, Speicherebenen, Hintergrundaufgaben, IDE-Bridges, MCP-Anbindungen und Multi-Agenten-Orchestrierung, die allesamt um das Modell herum aufgebaut sind.
Das ist wichtig, weil es beim KI-Coding-Wettrennen längst nicht mehr nur darum geht, wer das intelligenteste Modell hat. Es geht darum, wer das beste Harness besitzt.
Kein Chatbot-Wrapper
Laut dem öffentlichen Spiegel unter nirholas/claude-code umfasst die geleakte Claude-Code-CLI rund 1.900 Dateien und mehr als 512.000 Zeilen streng typisierten TypeScript-Codes, erstellt mit Bun, React und Ink für die Terminal-Oberfläche.
Die Architektur-Dokumentation des Repositories beschreibt ein weitläufiges System: eine riesige QueryEngine, eine zentrale Tool-Registry, Dutzende Slash-Befehle, persistenten Speicher, Unterstützung für IDE-Bridges, MCP-Integrationen, Remote-Sitzungen, Plugins, Skills sowie eine Aufgabenebene für Hintergrund- und parallele Arbeiten. Mit anderen Worten: kein Chatbot-Wrapper. Ein kompletter Produkt-Stack.
Das ist der eigentliche Leak.
Im vergangenen Jahr haben wir Coding-Agenten dabei beobachtet, wie sie angepriesen wurden, als läge die ganze Magie im Modell. Man mache das Modell besser, gebe ihm eine Shell, streue noch einen Code-Editor darüber – und voilà: ein Softwareentwickler. Doch der Claude-Code-Spiegel legt nahe, dass der schwierige Teil alles rund um das Modell ist. Tool-Berechtigungen. Kontextladen. Zustandsverwaltung. Sitzungswiederherstellung. Speicherhygiene. Hintergrundjobs. Teamkoordination. All die Dinge, die langweilig klingen – bis der Agent ein Repository plattmacht, den Faden verliert oder sich auf dem Weg zu einem Refactoring aus der Hölle in Halluzinationen verrennt.
Die Geschichte des Speichers ist die eigentliche Geschichte
Und wenn bei den Entwicklern, die den geleakten Code analysieren, ein Thema immer wieder auftaucht, dann ist es der Speicher.
Eine der prägnantesten Analysen kam von Himanshu auf X, der argumentierte, dass das Speichersystem von Claude Code offenbar weniger wie ein riesiges Notizbuch und eher wie eine begrenzte Retrieval-Architektur angelegt ist. Die zentrale Idee ist verblüffend simpel: Speicher wird als Index behandelt, nicht als Ablage.
Eine schlanke Ebene im Stil von MEMORY.md oder CLAUDE.md bleibt resident, verweist aber größtenteils auf Wissen, statt es selbst enthalten zu wollen. Themendateien werden bei Bedarf abgerufen. Vollständige Transkripte werden nicht pauschal wieder in den Kontext geladen. Wenn sich etwas aus der Codebasis ableiten lässt, sollte es oft überhaupt nicht gespeichert werden.
Das ist eine subtile, aber wichtige Designentscheidung. Die meisten Menschen stellen sich „Agentenspeicher“ als größeren Rucksack vor. Der Speicher von Claude Code wirkt – zumindest nach der öffentlichen Analyse – eher wie ein Ablagesystem mit einem strengen Bibliothekar.
Der Rest dieses Musters ist noch aufschlussreicher. Das von den Analysten beschriebene Speichersystem scheint bandbreitenbewusst, skeptisch und äußerst selbstredigierend zu sein. Es hängt nicht einfach für immer weitere Notizen an. Es schreibt um. Es entfernt Duplikate. Es beschneidet Widersprüche. Veralteten Speicher behandelt es als Belastung, nicht als Vorteil.
Und entscheidend ist, dass es die Speicherkonsolidierung offenbar vom Kontext des Hauptagenten trennt – genau die Art von Detail, die man erst entwickelt, nachdem man auf die harte Tour gelernt hat, dass autonome Systeme sich mit ihren eigenen Rückständen selbst vergiften können.
Das ist die Art von Sache, die Wettbewerber sehr viel mehr interessiert als Twitter.
Warum das für alle wichtig ist, die Agenten entwickeln
Wenn der Spiegel weitgehend authentisch ist, hat dieser Leak nicht bloß ein paar interne Implementierungsdetails enthüllt. Er hat offengelegt, wie ein ernstzunehmendes KI-Coding-Produkt offenbar das zentrale Zuverlässigkeitsproblem von Agenten löst: Wie lässt man eine KI über lange Strecken hinweg an chaotischer, sich verändernder Arbeit operieren, ohne dass sie in Kontextentropie ertrinkt?
Die Antwort scheint zu lauten: Vertraue dem Speicher nicht zu sehr, speichere nichts, was du erneut herleiten kannst, und lass niemals zu, dass das interne Sammelalbum des Agenten autoritativer wird als der tatsächliche Code.
Das ist eine deutlich größere Sache als „Anthropic hat Code geleakt“.
Die Sicherheitsironie
Zudem kommt der Leak für Anthropic zu einem ungünstigen Zeitpunkt, denn Claude Code wurde mit einer starken Sicherheits- und Kontrollgeschichte vermarktet.
Anthropics eigene Claude-Code-Dokumentation betont Berechtigungsabfragen, schreibgeschützte Standardeinstellungen und Sandboxing. Sicherheitsforscher von Check Point hatten bereits im Februar 2026 gravierende Schwachstellen in Claude Code offengelegt, bei denen es um bösartige Repository-Konfigurationen und die Umgehung von Einwilligungsabfragen ging.
Wenn dann einen Monat später ein Fehler bei der Paketierung offenbar die Interna des Produkts offenlegt, ist die Ironie kaum zu übersehen: Das Unternehmen, das sichere autonome Coding-Agenten entwickelt, könnte über eines der ältesten Probleme beim Ausliefern von Software gestolpert sein.
Offen nach Plan, offen aus Versehen
Gleichzeitig kommt der Leak in einem Markt an, der sich bereits auf eine Spaltung zwischen „von vornherein offen“ und „geschlossen, bis es kaputtgeht“ zubewegt.
Hier verändert OpenAIs Codex den Blickwinkel. OpenAI betont seit Monaten ausdrücklich, dass Teile seines Coding-Agenten-Stacks Open Source sind. Im Mai 2025 beschrieb OpenAI die Codex CLI in seinem offiziellen Launch-Beitrag als „leichtgewichtigen Open-Source-Coding-Agenten“. Das Repository openai/codex ist öffentlich und unter der Apache-2.0-Lizenz verfügbar.
Am 6. Okt. 2025 erklärte OpenAI, GPT-5-Codex sei speziell für „die Open-Source-Agentenimplementierung, die die Codex CLI antreibt“ trainiert worden, und am 2. Feb. 2026 beschrieb das Unternehmen die Codex-App weiterhin als auf derselben Open-Source-Sandboxing-Grundlage aufbauend.
Das macht den Claude-Code-Leak nicht weniger bedeutend. Es macht ihn verständlicher.
OpenAI veröffentlicht Teile seines Harnesses ganz bewusst als Open Source. Anthropic scheint eine vergleichbare Produktarchitektur versehentlich offengelegt zu haben. Der Unterschied besteht nicht nur in der PR. Er verrät, worin die Unternehmen jeweils ihren Burggraben sehen.
Wenn du das Harness als Open Source veröffentlichst, setzt du darauf, dass der Vorteil im Modell, in der Produktgeschwindigkeit, im Ökosystem und im Vertrieb liegt. Wenn du das Harness geschlossen hältst, deutest du an, dass die Orchestrierungsebene selbst zu den Kronjuwelen gehört. Der Leak von Claude Code ist wichtig, weil er nahelegt, dass Anthropic genau das glaubte – und diese Ebene dann trotzdem ans Licht gezerrt wurde.
Wenn das Internet einen Teardown bekommt
Außerdem gibt es hier noch einen Zweitrundeneffekt: Leaks wie dieser informieren nicht nur Wettbewerber. Sie bilden den gesamten Markt weiter.
Der öffentliche Spiegel blieb nicht lange ein bloßes Archiv. Er verwandelte sich rasch in ein erkundbares Dokumentationsprojekt – komplett mit Architekturleitfäden, Notizen zu Subsystemen und sogar einem MCP-Server zur Navigation durch den geleakten Quellcode. Das ist eine seltsam perfekte Metapher für die aktuelle KI-Ära. Sobald die Blackbox aufbricht, starrt die Community nicht einfach nur auf die Innereien. Sie macht aus dem Teardown ein Produkt.
Die größere Lektion
Also ja, Anthropic hat Claude Code geleakt. Doch die eigentliche Bedeutung liegt nicht darin, dass Entwickler gaffen durften.
Sie liegt darin, dass wir ein klareres Bild davon bekommen haben, was ein moderner KI-Coding-Agent tatsächlich ist: kein Modell mit Shell, sondern ein sorgfältig entwickelter Stack aus Berechtigungen, Retrieval, Speicherdisziplin, Aufgabenverwaltung, UI-Design und Orchestrierungslogik. Die Frontier bewegt sich weg von Demos roher Intelligenz und hin zu Systemen, die bei lang laufender Arbeit den Halt bewahren können.
Oder anders gesagt: Die Zukunft von Coding-Agenten könnte weniger davon abhängen, wie viel sie sich merken können, als davon, wie gut sie vergessen.
Und wenn sich das als bleibende Lehre aus dem Claude-Code-Leak erweist, hat Anthropic der gesamten Branche womöglich versehentlich eine kostenlose Architekturprüfung spendiert.
Wenn du möchtest, kann ich als Nächstes noch einen Polierdurchgang machen, damit es noch mehr nach Neuron klingt und ich ein paar Zeilen für einen besseren Lesefluss straffe.
Anmerkung der Redaktion: Dieser Beitrag erschien ursprünglich im Newsletter unserer Schwesterpublikation The Neuron. Mehr von The Neuron kannst du lesen, indem du dich hier für den Newsletter anmeldest.