帖子说了什么
@its_LtDan 提醒：你把系统 Node 升到最新，并不等于 Claude Code 跟着安全了。Claude Code 不跑你系统里的 Node，而是自带一份嵌入的 Bun 运行时。系统补丁打完，工具里的那份仍可能偏旧——一台机器、两套运行时，容易漏掉那套「装在工具里」的。
行动建议很短：补工具，不只补操作系统——跑 claude update。
官方与公开信息怎么印证
Anthropic 收购 Bun 后，公开说明 Claude Code 以 Bun 可执行文件分发给大量用户；CHANGELOG 也多次写到 upgraded the bundled Bun runtime。社区与 issue 里还能看到 Windows 自动更新偶发「启动进了 Bun CLI 而不是 Claude」的包装事故——侧面说明二进制里确实绑着 Bun。
因此，运行时 CVE、依赖补丁的正确入口是 Claude Code 自身的更新通道，而不是只盯着 node -v。
落地建议
- 定期
claude update（或走官方安装/自动更新路径），并看claude --version是否为 Claude Code 版本号。 - 安全通告提到 Bun / 嵌入运行时时，把 Claude Code 列入必更清单，与系统 Node 分开勾选。
- 若
claude --version打出像 Bun 版本号、或启动进 Bun 帮助页，按官方 issue 回滚/重装，不要当「Node 坏了」乱改 PATH。
小结
Agent 工具的攻击面包含它打包进去的运行时。Node 补丁写进运维清单时，给 Claude Code 留一行：claude update。
来源
- @its_LtDan：内嵌 Bun，要补工具
- 对照：Bun joins Anthropic、Claude Code CHANGELOG（bundled Bun）
