Người sáng lập Bun phủ nhận liên quan rò rỉ của Claude Code, sau một câu liền khóa chủ đề

Nhà sáng lập của môi trường thực thi JavaScript mã nguồn mở Bun là Jarred Sumner đã tự mình lên tiếng đáp lại các nghi ngờ, bác bỏ rằng nguyên nhân cốt lõi khiến mã nguồn của Claude Code—sản phẩm chủ lực của Anthropic—bị rò rỉ lại là do Bun. Bài đăng nhanh chóng nhận được gần 100 lượt phản hồi bằng biểu tượng cảm xúc, và nhiều nhà phát triển đổ xô vào phần bình luận. Ngay sau khi Sumner đưa ra phản hồi, ông đã khóa bài viết và chỉnh sửa tiêu đề để quản lý việc chấm dứt các thao tác, ngăn thảo luận tiếp tục.

GitHub Issue #28001：Bun có nên “gánh tội” vụ rò rỉ của Claude Code không

Logic quy kết của nhà phát triển jakeg có sức thuyết phục ở bề mặt: Anthropic đã mua lại Bun vào tháng 12 năm 2025, thông báo mua lại nêu rõ “Bun là hạ tầng mở rộng cốt lõi cho Claude Code”, và Jarred Sumner cùng đội ngũ của ông đã gia nhập Anthropic ngay sau thương vụ; ngoài ra, Bun tồn tại bug khiến .map vẫn bị lộ cho phía trình duyệt ngay cả khi cấu hình development: false; trong khi đó gói npm của Claude Code lại tình cờ làm phát sinh việc đưa vào khoảng 60MB source map—khiến ba yếu tố dường như tạo thành một chuỗi nhân quả.

Phản hồi của Sumner thẳng thắn và ngắn gọn: “Điều này không liên quan gì đến Claude Code. Bug này nhắm vào máy chủ phát triển phía frontend của Bun. Claude Code không phải ứng dụng frontend; nó là một TUI (chương trình giao diện người dùng đầu cuối), không dùng Bun.serve() để biên dịch gói thực thi đơn lẻ.” Ngay sau đó, ông khóa issue, cấm các bình luận tiếp theo từ những người không phải cộng tác viên, và sửa tiêu đề để gắn nhãn rõ ràng “Bun’s frontend development server” nhằm ngăn việc quy trách nhiệm sai tiếp tục lan rộng.

Sự khác biệt cốt lõi giữa hai bug: Về mặt kỹ thuật vì sao hoàn toàn khác nhau

Sự phủ nhận của Sumner có căn cứ rõ ràng về mặt kỹ thuật; hai vấn đề thuộc về các loại lỗi hoàn toàn khác nhau:

Bun #28001 (bug máy chủ phía frontend)：Bun.serve() trong cấu hình development: false vẫn vô tình lộ các tệp .map cho phía client trong trình duyệt; phạm vi ảnh hưởng chỉ giới hạn ở các ứng dụng web sử dụng Bun làm máy chủ phát triển frontend; từ khi commit ngày 11 tháng 3 đến nay đã ba tuần chưa được hợp nhất để khắc phục

Rò rỉ Claude Code (lỗi cấu hình đóng gói CI/CD)：Gói npm v2.1.88 khi xây dựng đã vô tình đóng gói tệp source map đầy đủ 60MB; quan điểm chính thức của Anthropic là “vấn đề đóng gói phát hành do lỗi của con người”, về bản chất là .npmignore đã bỏ sót các tệp liên quan; Claude Code là ứng dụng TUI đầu cuối, không đi theo đường dẫn dịch vụ frontend của Bun.serve()

Bộ đóng gói của Bun và máy chủ phát triển frontend của nó là các mô-đun hoàn toàn độc lập; dù Claude Code sử dụng Bun làm công cụ xây dựng, nhưng đường kỹ thuật và chức năng của máy chủ phát triển frontend trong #28001 hoàn toàn không có giao điểm.

Bối cảnh rò rỉ Claude Code：512K dòng mã bất ngờ trở thành thông tin công khai

Điểm khởi đầu của tranh cãi kỹ thuật này là một sai lầm nghiêm trọng do Chaofan Shou của Solayer Labs phát hiện vào rạng sáng ngày 31 tháng 3: trong gói npm của Claude Code v2.1.88 đã vô tình nhúng vào 512,000 dòng code TypeScript, 1,906 tệp và 59.8MB source map đầy đủ. Chỉ trong vài giờ, mã đã được phản chiếu lên GitHub, số lượt fork vượt 4.1 vạn.

Cần lưu ý rằng đây không phải lần đầu Anthropic mắc phải cùng một dạng sai lầm—vào tháng 2 năm 2025, khi Claude Code lần đầu được phát hành, sự rò rỉ source map tương tự đã từng xảy ra một lần nữa, với nguyên nhân hoàn toàn giống nhau: công cụ xây dựng Bun tạo mặc định source map, và .npmignore đã không loại trừ đúng các tệp này. Phân tích của cộng đồng về mã rò rỉ đã tiết lộ bí mật về hiệu năng của Claude Code: trong số 512K dòng, chỉ 1.6% (khoảng 8,000 dòng) trực tiếp gọi mô hình AI; phần còn lại 98.4% là công cụ tìm kiếm, hệ thống công cụ, kiểm soát an toàn và kiến trúc cộng tác đa tác nhân, tạo thành một môi trường thực thi hoàn chỉnh lấy LLM làm lõi—không phải giao diện chat thông thường.

Câu hỏi thường gặp

Bug Bun #28001 có gây ra việc rò rỉ mã nguồn của Claude Code không?

Không. Về mặt kỹ thuật, hai vấn đề hoàn toàn khác nhau: Bun #28001 là vấn đề máy chủ phát triển frontend ở một cấu hình cụ thể vô tình phơi bày source map cho trình duyệt; còn rò rỉ của Claude Code là lỗi cấu hình CI/CD khi phát hành, khiến sản phẩm build bị đóng gói nhầm vào gói npm. Claude Code là ứng dụng TUI đầu cuối, không dùng máy chủ phát triển frontend của Bun; sự phủ nhận của Jarred Sumner là chính xác về mặt kỹ thuật.

Vì sao Jarred Sumner chọn khóa bài thay vì để thảo luận tiếp diễn?

Về mặt kỹ thuật, Sumner đã đưa ra giải thích rõ ràng và ngắn gọn; tuy nhiên, bản chất của issue công khai khiến việc quy trách nhiệm sai về mặt kỹ thuật có thể tiếp tục lan truyền, ảnh hưởng đến danh tiếng của Bun. Việc khóa bài và sửa tiêu đề là thao tác quản lý chuẩn nhằm cắt đứt thông tin sai lan rộng hơn sau khi phần giải thích kỹ thuật đã hoàn tất, đặc biệt khi liên quan đến các issue có tiêu đề mang tính gây hiểu lầm—đây là cách làm thường thấy trong các dự án mã nguồn mở.

Lần rò rỉ Claude Code này là lần thứ mấy xảy ra đúng vấn đề tương tự?

Đây là lần thứ hai. Khi Claude Code lần đầu phát hành vào tháng 2 năm 2025, sự rò rỉ source map tương tự đã từng xảy ra một lần; nguyên nhân hoàn toàn giống nhau—công cụ xây dựng Bun tạo mặc định source map, trong khi cấu hình .npmignore không loại trừ đúng các tệp này. Sau lần rò rỉ đầu tiên, Anthropic đã không bổ sung đủ biện pháp phòng vệ trong quy trình CI/CD, và cuối cùng dẫn đến việc v2.1.88 lặp lại sai lầm.