Claude Code 源代码泄露后,合规的使用边界在哪里?

本文原载于「星奕律观」公众号(2026年4月),作者李晨兴律师。以下为原文转载,内容未作改动。

2026年3月31日,Anthropic犯了一个低级错误。

发布Claude Code的npm包时,团队忘记排除一个调试文件(source map)。这个文件只有59.8 MB,却包含了Claude Code全部51.2万行TypeScript源代码。代码几小时内被镜像到GitHub,成为该平台历史上增长最快的仓库。

开发者们疯狂围观、克隆、分析。

但一个被多数人忽略的问题是:这些泄露的代码,在法律上到底是什么状态?看完之后能不能用?怎么用才合规?

泄露源码受什么法律保护?

Claude Code的源码是Anthropic的专有资产(proprietary software)。

“专有”意味着版权全部保留,作者没有通过任何许可证(如MIT、Apache、GPL)放弃或分享权利。

法律的默认状态是三个字:全禁止。

未经授权,不得复制、修改、分发、商业化使用。

在中国法律框架下,这些代码受到三重保护。

第一层:著作权法

著作权法保护的是表达形式(代码本身),不保护思想、方法、算法。

《中华人民共和国著作权法》第三条明确保护”计算机软件”作为作品,《计算机软件保护条例》进一步细化保护规则。同时,中美都是《伯尔尼公约》成员国,版权自动获得,不需要在中国重新注册。

司法判定侵权的标准是”接触+实质性相似”。

最高人民法院在49号指导案例中确立,后在(2022)最高法知民终670号判决中再次明确:“计算机软件著作权的侵权判断,遵循’接触加实质性相似’的标准。“

第二层:商业秘密

源码在泄露前毫无疑问是商业秘密,三要件(《反不正当竞争法》第九条)齐全:秘密性、商业价值性、保密措施。

泄露之后呢?争议出现了。

一方认为51.2万行代码已经公开,“秘密性”丧失;另一方认为泄露是失误导致的,不应因此剥夺原权利人的法律保护。

中国法院的实务倾向是:即使信息已经被公开披露,只要权利人本身没有放弃保密措施,且信息仍具有商业竞争优势,商业秘密的保护并不必然消失。

最高人民法院在2024年知识产权典型案例中明确:“商业秘密保护的实质是商业秘密给经营者带来的竞争优势。即便信息事后被公开,商业秘密的秘密性在侵权行为发生时仍然受到保护。“

第三层:反不正当竞争法兜底

著作权法只保护”表达”不保护”思想”,商业秘密在泄露后”秘密性”存疑。落入这两层盲区的行为,《反不正当竞争法》第二条(一般条款)兜底:只要行为违反诚实信用原则、扰乱市场竞争秩序,即使不构成著作权侵权、不构成商业秘密侵权,仍可被认定为不正当竞争。

三层框架层层递进:著作权法最明确,商业秘密有争议,反不正当竞争法兜底。

但这只是法律分析的起点。开发者看完源码后的真正问题不是”受不受保护”,而是:能不能用?

GPLv3不是免死金牌

开发者们很快发现了一个看似能改变一切的事实:这个npm包里带着GPLv3许可证。

GPLv3是开源世界最知名的许可证之一。很多人看到这三个字母的第一反应是:“这不是开源的吗?开源不就能随便用吗?”

这个直觉是错的。

GPLv3不是”放弃版权”的声明,而是一份有条件的版权许可。版权始终归Anthropic所有,它只是附条件地允许他人使用、修改和分发。

默认状态是全禁止。GPLv3说”我允许做以下事情”,但附带条件:保留版权声明,修改后必须开源,不得加额外限制。如果不遵守条件,许可自动终止,回到全禁止状态。

“条件性许可”有判例支撑。2008年美国联邦巡回上诉法院Jacobsen v. Katzer案确立:开源许可证的条件是”版权条件”,不是合同条款。违反条件=版权侵权。案件2010年和解,Katzer支付10万美元并接受永久禁令。

大量上传泄露源码的GitHub仓库没有遵守GPLv3条件,未保留许可证声明、闭源分发、添加额外限制。对这些仓库,GPLv3许可已经终止,Anthropic作为版权持有人有权主张版权侵权。

Anthropic确实拿起DMCA这把法律武器。

DMCA(《数字千年版权法》)第五百一十二条规定了”通知-移除”机制:版权持有人向托管平台发下架通知,平台收到后迅速移除,不需实质审查。被下架方可提交”反通知”,版权持有人14天内决定是否起诉——不起诉则恢复,起诉则继续下架。

Anthropic向GitHub发出下架通知,几个小时内移除超过8100个仓库。随后Anthropic承认下架过于宽泛,撤回了对绝大多数仓库的下架通知。

截至目前,没有公开信息表明Anthropic对任何个人开发者提起版权侵权诉讼。DMCA下架成本低(发封邮件),提起诉讼成本极高。8100个仓库涉及开发者数量庞大,逐一起诉既不现实也不经济。

GPLv3的条件性许可,在中国对应《著作权法》第二十六条的”许可使用合同”;违反GPLv3条件在中国同样是著作权侵权,对应《计算机软件保护条例》第二十三条。Anthropic向GitHub发DMCA下架通知,在中国对应的机制是《信息网络传播权保护条例》的”通知-删除”规则。

不抄代码只借鉴,安全吗?

著作权法保护”表达”不保护”思想”,代码是”表达”,架构是”思想”。这个区分看似给了一条出路:不复制代码,只借鉴架构设计,不就不侵权了?

但这恰恰是最容易踩坑的地方。另一部法律正等着兜底。

《反不正当竞争法》第二条是一般条款,在司法实践中发挥兜底保护功能:即使行为不构成著作权侵权,只要违反诚实信用原则、扰乱市场竞争秩序,仍可被认定为不正当竞争。

这里的关键理论是”搭便车”(Free Riding),即经营者利用他人的商业投入获取竞争优势,而非通过自身努力。

法院认定”搭便车”通常审查三个要件:第一,原告有没有值得保护的竞争利益;第二,被告行为是否违反诚实信用原则和商业道德;第三,这种行为是否损害了公平竞争秩序。

这种”搭便车”的认定不是理论推演。2025年3月,北京知识产权法院二审判决的抖音”变身漫画特效”AI模型抄袭案(北京抖音科技有限公司诉亿睿科信息技术有限公司)就是最直接的先例。

抖音公司投入大量资源开发了一款AI模型,亿睿科公司(B612咔叽App运营方)并未复制源代码,但抄袭了该AI模型的模型结构和参数配置。一审认定构成不正当竞争,二审维持原判。该案入选最高人民法院2025年人民法院反不正当竞争典型案例,裁判要旨明确:即使没有复制代码,抄袭AI模型的架构和参数同样构成不正当竞争。

著作权法和反不正当竞争法形成”窄保护+宽兜底”的双层架构。对Claude Code场景,两层风险叠加:直接复制代码触发著作权侵权;只借鉴架构做竞品触发不正当竞争。

风险高低取决于一个变量:与原产品的竞争关系。

• 纯学习研究,低风险
• 本地插件、不分发,低中风险
• GitHub开源Skills,中高风险
• 商业化产品,三重风险叠加

一个特别容易被忽视的陷阱:不少开发者在GitHub项目的README或commit信息中标注”基于Claude Code架构""参考泄露源码”等表述。这些文字在法律上等于帮Anthropic完成了”接触”要件的举证,相当于主动给原告递上了关键证据。

用AI分析源码,风险反而更高了

理解这个变化,需要先回到软件行业一个经典的合法抗辩手段:净室重写(Clean Room Design)。

净室重写核心机制是人为隔离。团队分两组:“接触组”看过原代码但只写功能性规格说明,不传递实现细节;“实现组”从未看过原代码,只根据规格说明独立实现。1980年代IBM通过净室重写合法复现BIOS,成为PC兼容机产业的法律基石。

用AI分析泄露源码后生成新代码,表面看和净室重写很像:开发者看源码(“接触组”),AI写代码(“实现组”),中间隔着提示词(“规格说明”)。

但法律上有三个本质区别:

区别一:AI无法”隔离”。 传统净室重写要求实现方从未接触原代码。但AI大模型本身在海量代码上训练,它不是”没看过原代码的独立实现者”,而是”看过所有代码的混合体”。

区别二:不存在真正的”规格说明隔离层”。 净室重写的关键是接触组只输出功能性规格说明。但Vibe Coding中,开发者往往直接把泄露源码作为prompt输入。

区别三:输出可能包含原代码的实质性片段。 AI生成的代码可能包含与原代码高度相似的片段。开发者因”这是AI生成的”而放松审查,但法律上这不构成抗辩。

AI场景下”接触+实质性相似”两个要件都发生了变化:

“接触”要件举证,传统场景下往往最困难。但把泄露源码喂给AI会留下完整的电子证据链:API调用日志、prompt历史、token消耗记录。开发者主动将源码输入AI模型的行为,本身就是”接触”的铁证。

“实质性相似”判定标准也在升级。传统判定主要依赖代码文本比对。这种方式对Vibe Coding不够用,因为AI生成的代码文本层面可能与原代码差异很大。法院正在建立新的相似性判定框架,不再局限于代码文本,而是考察更深层的架构同源性:模块划分、数据流向、算法逻辑、设计模式。

这种”架构同源性”分析在抖音”变身漫画特效”案中已得到应用,法院不仅比对代码,还比对了模型结构和参数配置。

开发者普遍认为”AI生成的代码没有版权问题”,这个直觉是错误的。 问题不在于代码是谁写的,而在于开发过程中是否”接触”了受保护的源码,以及最终产品是否与原作品构成实质性相似。

那到底怎么做才合规?

1. 纯学习研究,安全

阅读和分析泄露源码完全合法。著作权法不保护”思想”,阅读和理解属于对思想的吸收。开发者从中学到的设计理念(多Agent编排、工具链架构、提示工程实践),属于行业通用知识的积累。

2. 直接上传和镜像,有风险,但可控

泄露后几小时内,代码被镜像到GitHub。这些行为触发了Anthropic的DMCA下架。但如果严格遵守GPLv3条件(保留版权声明、保持开源、不加额外限制),法律上可以主张”条件性许可”。风险不在于法律定性,而在于程序:DMCA机制下先下架再申诉,举证成本全在开发者一方。

3. 用Python重写为开源框架,风险高的灰色地带

韩国开发者Sigrid Jin用Python重写了Claude Code的逻辑,发布为claw-code,一天内获得10万GitHub星。claw-code用Python重写,文本层面与原TypeScript代码完全不相似。但抖音”变身漫画特效”案的裁判要旨已经明确:抄袭架构设计同样构成不正当竞争。claw-code的核心卖点——Agent Swarm、Background Daemon、多Agent编排,直接来源于泄露源码中的发现。

4. 商业竞品借鉴,风险最高

泄露源码暴露了44个Feature Flag、20个未发布功能、poisoned tool schemas、undercover mode等商业秘密。如果有AI编程厂商的工程师阅读了这些源码,提取特定技术方案用于优化自家产品,全链条风险同时触发:著作权、商业秘密、反不正当竞争。

5. 安全研究与漏洞挖掘,特殊灰区

安全研究者从泄露源码中发现了依赖混淆漏洞。安全研究本身有公共利益抗辩,但在研究过程中复制或分发了泄露源码,仍可能触发著作权问题。

看完这五个真实场景,合规边界其实已经浮现了。

安全区的底线是:学思想,不直接搬。

你看了Claude Code的源码,理解了多Agent编排的理念、学会了提示工程的实践、认识了工具链设计的模式,这些属于对”思想”的吸收,著作权法不管。

但如果你把学到的特定实现方案(Agent Swarm的调度逻辑、Background Daemon的进程管理机制、poisoned tool schemas的防御设计)直接搬到自己的产品里,不管是手动搬还是让AI帮你搬,前面四层风险全部激活。

合规边界就在这里。