一、案例背景
1. Bun的诞生与崛起
Bun是一套广受欢迎的JavaScript工具集，包含运行时、包管理器、打包工具和测试运行器。它由Jarred Sumner于2022年创建，凭借其卓越的执行速度和与Node.js的良好兼容性，迅速在开发者社区中积累了大量拥趸。
Sumner在产品设计中做出了两个关键的技术决策：其一，采用苹果公司的WebKit JavaScriptCore（JSC）引擎而非谷歌的默认V8引擎，以换取更低的内存占用和更快的启动速度；其二，选择了当时尚处于上升期的Zig编程语言，看中的是其出色的性能表现和底层控制能力。这些决策使Bun在性能上形成了差异化优势，成为JavaScript生态系统中不可忽视的新势力。
2. Anthropic收购与AI化的转折
2025年12月，Anthropic收购了Bun，并将其作为构建核心状态机的基础。这一收购标志着Bun从一个独立的开源项目转变为AI巨头基础设施的一部分。
值得注意的是，在收购发生之前，Bun的开发过程中已经深度融入了AI辅助。一个名为RoboBun的Claude Bot在Bun代码库中承担了大量工作，成为所有贡献者中合并PR数量最多的实体，负责修复Bug和解决测试失败问题。这一阶段可以被视为AI辅助开发的早期实践，但其效果已经开始引发争议。
3. 危机爆发：漏洞与泄露
随着Bun用户群的迅速扩大，代码中开始出现越来越多的漏洞。用户在软件各处发现了问题，包括一个与2026年3月Anthropic发生的51.2万行代码泄露事件直接相关的漏洞。据NodeSource报道，这一泄露事件的根源在于Bun的Bundler中存在一个漏洞——即使被明确禁止，它仍然会在构建过程中生成源映射文件，导致源代码意外泄露。
这些问题的累积使得Bun团队面临严峻的技术信任危机。Sumner在后续的博文中承认，这些漏洞并非Zig语言的过错，而是Bun架构中混合了垃圾回收和应用程序驱动的内存管理所导致的问题。他坦承，Zig原本并非为此类任务而设计，而Rust在自动化内存管理方面确实更胜一筹。
……