ثغرة Claude Code: ملف خادع في مستودع برمجي يمكنه تسريب ملفاتك دون علمك

كيف تعمل الهجمة

تعتمد الثغرة على خطأ بسيط لكنه خطير في محمل الذاكرة (memory loader) الخاص بـ Claude Code:

1. يحتوي المستودع الضار على ملف CLAUDE.md عادي المظهر، لكنه يتضمن توجيه @import指向 ملف داخل المستودع، مثلاً @./link .
2. هذا الملف (link) هو رابط رمزي مخزن في Git (بالصيغة 120000 في Git)指向 هدف خارج المستودع، مثل /etc/passwd أو ../../../../home/user/.ssh/id_rsa. يحافظ Git على الروابط الرمزية عند الاستنساخ .
3. عندما يستنسخ المطور المستودع ويشغل Claude Code، يقرأ محمل الذاكرة ملف CLAUDE.md ويجد توجيه @./link. يتحقق المحمل مما إذا كان المسار النصي (./link) داخل المشروع - وهو كذلك - لذلك يُصنف الاستيراد على أنه 'داخلي' ولا يظهر حوار الموافقة على الاستيراد الخارجي .
4. ثم يتبع المحمل الرابط الرمزي إلى الملف الهدف الفعلي خارج المشروع، ويقرأ محتوياته، ويضعها في نافذة السياق الأولية للنموذج .
5. تغادر المحتويات الجهاز في أول طلب خارجي إلى واجهة برمجة تطبيقات Anthropic - قبل أن يتخذ النموذج أي إجراء ودون أي استدعاء أداة مرئي. لا يرى المستخدم أي تحذير .
6. بشكل اختياري، يمكن لإعداد ANTHROPIC_BASE_URL المعروف في المستودع أن يعيد توجيه نقطة النهاية الخارجية إلى خادم يتحكم به المهاجم، مما يكمل عملية التسريب .

الاكتشاف الجديد ليس أن Claude Code يتبع الروابط الرمزية - هذا موثق ومقصود. الاكتشاف الجديد هو تجاوز الموافقة: فحص الاستيراد الخارجي يعمل على المسار غير المحلول، بينما تعمل عملية القراءة على المسار المحلول، ولم يتلق محمل الذاكرة إصلاح حل الروابط الرمزية الذي طُبق على نظام صلاحيات Claude Code في ثغرتين سابقتين .

استجابة Anthropic

أبلغت Tego AI عن المشكلة عبر HackerOne في يوليو 2026. أغلقت Anthropic التقرير على أنه 'إعلامي' (Informative) - بمعنى أنها لم تعامله كثغرة أمنية بموجب نموذج التهديد الحالي لديها .

مبرر Anthropic: بموجب نموذج تهديد Claude Code، فإن مربع حوار 'الثقة في هذا المجلد' (trust this folder) هو الحد الأمني. قبول هذا الحوار يمنح المشروع بالفعل صلاحيات قراءة وتحرير وتنفيذ واسعة. لا تجادل Tego AI في أن Anthropic تطبق هذا النموذج باستمرار، لكنها تجادل بأن الاكتشاف لا يزال مهمًا لأن البيانات تغادر الجهاز تلقائيًا وبصمت ودون وعي المستخدم .

يُذكر أنه تم إصلاح نفس نمط فشل الرابط الرمزي مقابل الفحص الأمني مرتين سابقتين في نظام صلاحيات Claude Code:

• CVE-2025-59829 (أُصلح في سبتمبر 2025): تجاوز الرابط الرمزي لقواعد الرفض في صلاحيات الملفات
• CVE-2026-25724 (أُصلح في يناير 2026): نفس النمط مرة أخرى، تجاوز قواعد الرفض عبر الروابط الرمزية

كلا الإصلاحين السابقين قاما بحل الرابط الرمزي قبل التحقق من الصلاحيات - لكن هذا الإصلاح لم يُطبق أبدًا على مسار كود محمل الذاكرة .

نمط أوسع: نظام Claude البيئي وأمن أدوات البرمجة بالذكاء الاصطناعي

إفصاح Tego AI هو ثاني ثغرة في نظام Claude البيئي خلال أسبوع. في 14 يوليو 2026، كشفت Tego أن تكامل Claude Tag مع Slack يمكن تشغيله بنص @Claude العادي في أي رسالة، مما قد يتيح إجراءات مؤسسية غير مصرح بها .

خارج أعمال Tego، تراكمت على Claude Code ما لا يقل عن 28 CVE في ما يقرب من عام من الوجود، بما في ذلك:

• ثغرتا هروب من الصندوق الرملي (sandbox escape) حرجتان بدرجة CVSS 10.0: CVE-2026-39861 (هروب عبر الرابط الرمزي) و CVE-2026-25725 (تجاوز الصندوق الرملي عبر settings.json)
• CVE-2026-46406 (يونيو 2026): أمر /copy كان يكتب الردود إلى مسار مؤقت ثابت قابل للقراءة عالميًا /tmp/claude/response.md، مما يسمح لأي مستخدم محلي بقراءة الأسرار
• أبحاث Check Point (فبراير 2026): ثغرات حرجة (CVE-2025-59536, CVE-2026-21852) تمكن من تنفيذ الأوامر عن بُعد وسرقة مفاتيح API عبر ملفات تكوين ضارة على مستوى المستودع

الأبحاث عبر الصناعة تظهر أن هذا ليس فريدًا لـ Anthropic:

• GhostApproval (Wiz, يوليو 2026): ثغرات الروابط الرمزية في ستة مساعدي برمجة بالذكاء الاصطناعي (Amazon Q Developer و Anthropic و Cursor و Google Gemini و GitHub Copilot و Vercel) تتيح لمستودع فخ جعل الأداة تكتب إلى ملف حساس بينما يوافق المستخدم على الكتابة إلى ملف غير ضار
• SymJack (Adversa AI, مايو 2026): هجمة اختطاف رابط رمزي واحدة تحقق تنفيذ أوامر عن بُعد عبر ستة منتجات (Claude Code و Gemini CLI و Cursor و Copilot و Grok Build و Codex CLI). يوافق المستخدم على نسخ ملف؛ النواة تكتب في مكان آخر
• TrustFall (Adversa AI, مايو 2026): خوادم MCP المعرفة من قبل المستودع تُنفذ تلقائيًا بمجرد قبول المستخدم لموجه الثقة في المجلد

التوتر المعماري الأساسي ثابت عبر الصناعة: وكلاء البرمجة بالذكاء الاصطناعي يحتاجون إلى صلاحيات واسعة لنظام الملفات والصدفة (shell) والشبكة ليكونوا مفيدين - لكن هذه الصلاحيات المرتفعة هي نفس الصلاحية التي يحتاجها المهاجم. كل هروب من الصندوق الرملي، واختراق المسار (path traversal)، وتجاوز حوار الثقة ينبع من هذا التحدي نفسه . سطح الهجوم لا يتقلص؛ الميزات الجديدة تضيف نواقل جديدة أسرع من إصلاح الموجودة.