Zranitelnost Claude Code: Soubor CLAUDE.md s odkazem může potichu odcizit vaše data
Společnost Tego AI zveřejnila 24. července 2026 zranitelnost nástroje Claude Code, kdy soubor CLAUDE.md s direktivou @import odkazující na symbolický odkaz v repozitáři může potichu číst soubory mimo projekt a odesíla...
PublikovalUpraveno pomocí DeepSeek-V4-FlashObrázky vytvořeny pomocí GPT Image 1.5
Společnost Tego AI zveřejnila 24. července 2026 zranitelnost nástroje Claude Code, kdy soubor CLAUDE.md s direktivou @import odkazující na symbolický odkaz v repozitáři může potichu číst soubory mimo projekt a odesíla...
Útok zneužívá nesoulad v prověření cesty: Claude Code kontroluje lexikální cestu (v rámci projektu), ale při čtení následuje symbolický odkaz na soubor mimo projekt, čímž obchází dialog o schválení externího importu.
Anthropic uzavřel hlášení jako „Informativní“ s odůvodněním, že bezpečnostní hranicí je dialog „důvěřovat této složce“; stejný vzor chyby byl přitom dvakrát opraven v části nástroje spravující oprávnění.
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Dne 24. července 2026 zveřejnila bezpečnostní firma Tego AI zranitelnost v nástroji Claude Code od společnosti Anthropic. Tato chyba umožňuje, aby škodlivý repozitář potichu odeslal soubory z počítače vývojáře na server. Útok zneužívá nesoulad v prověření původu (provenance mismatch) při zpracování symbolických odkazů (symlinků) v souboru CLAUDE.md s instrukcemi k projektu. Když vývojář naklonuje repozitář a spustí Claude Code, symbolický odkaz uvnitř repozitáře může způsobit, že nástroj načte soubory z vnějšku projektu a zahrne jejich obsah do prvního požadavku na model – a to bez jakéhokoli varování, dialogu o schválení nebo viditelného volání nástroje .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Zranitelnost Claude Code: Soubor CLAUDE.md s odkazem může potichu odcizit vaše data"?
Společnost Tego AI zveřejnila 24. července 2026 zranitelnost nástroje Claude Code, kdy soubor CLAUDE.md s direktivou @import odkazující na symbolický odkaz v repozitáři může potichu číst soubory mimo projekt a odesíla...
What are the key points to validate first?
Společnost Tego AI zveřejnila 24. července 2026 zranitelnost nástroje Claude Code, kdy soubor CLAUDE.md s direktivou @import odkazující na symbolický odkaz v repozitáři může potichu číst soubory mimo projekt a odesíla... Útok zneužívá nesoulad v prověření cesty: Claude Code kontroluje lexikální cestu (v rámci projektu), ale při čtení následuje symbolický odkaz na soubor mimo projekt, čímž obchází dialog o schválení externího importu.
What should I do next in practice?
Anthropic uzavřel hlášení jako „Informativní“ s odůvodněním, že bezpečnostní hranicí je dialog „důvěřovat této složce“; stejný vzor chyby byl přitom dvakrát opraven v části nástroje spravující oprávnění.
Zranitelnost Claude Code: Soubor CLAUDE.md s odkazem může potichu odcizit vaše data
Společnost Tego AI zveřejnila 24. července 2026 zranitelnost nástroje Claude Code, kdy soubor CLAUDE.md s direktivou @import odkazující na symbolický odkaz v repozitáři může potichu číst soubory mimo projekt a odesíla...
PublikovalUpraveno pomocí DeepSeek-V4-FlashObrázky vytvořeny pomocí GPT Image 1.5
Společnost Tego AI zveřejnila 24. července 2026 zranitelnost nástroje Claude Code, kdy soubor CLAUDE.md s direktivou @import odkazující na symbolický odkaz v repozitáři může potichu číst soubory mimo projekt a odesíla...
Útok zneužívá nesoulad v prověření cesty: Claude Code kontroluje lexikální cestu (v rámci projektu), ale při čtení následuje symbolický odkaz na soubor mimo projekt, čímž obchází dialog o schválení externího importu.
Anthropic uzavřel hlášení jako „Informativní“ s odůvodněním, že bezpečnostní hranicí je dialog „důvěřovat této složce“; stejný vzor chyby byl přitom dvakrát opraven v části nástroje spravující oprávnění.
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Dne 24. července 2026 zveřejnila bezpečnostní firma Tego AI zranitelnost v nástroji Claude Code od společnosti Anthropic. Tato chyba umožňuje, aby škodlivý repozitář potichu odeslal soubory z počítače vývojáře na server. Útok zneužívá nesoulad v prověření původu (provenance mismatch) při zpracování symbolických odkazů (symlinků) v souboru CLAUDE.md s instrukcemi k projektu. Když vývojář naklonuje repozitář a spustí Claude Code, symbolický odkaz uvnitř repozitáře může způsobit, že nástroj načte soubory z vnějšku projektu a zahrne jejich obsah do prvního požadavku na model – a to bez jakéhokoli varování, dialogu o schválení nebo viditelného volání nástroje .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Zranitelnost Claude Code: Soubor CLAUDE.md s odkazem může potichu odcizit vaše data"?
Společnost Tego AI zveřejnila 24. července 2026 zranitelnost nástroje Claude Code, kdy soubor CLAUDE.md s direktivou @import odkazující na symbolický odkaz v repozitáři může potichu číst soubory mimo projekt a odesíla...
What are the key points to validate first?
Společnost Tego AI zveřejnila 24. července 2026 zranitelnost nástroje Claude Code, kdy soubor CLAUDE.md s direktivou @import odkazující na symbolický odkaz v repozitáři může potichu číst soubory mimo projekt a odesíla... Útok zneužívá nesoulad v prověření cesty: Claude Code kontroluje lexikální cestu (v rámci projektu), ale při čtení následuje symbolický odkaz na soubor mimo projekt, čímž obchází dialog o schválení externího importu.
What should I do next in practice?
Anthropic uzavřel hlášení jako „Informativní“ s odůvodněním, že bezpečnostní hranicí je dialog „důvěřovat této složce“; stejný vzor chyby byl přitom dvakrát opraven v části nástroje spravující oprávnění.
Zranitelnost spočívá v jednoduchém, ale kritickém přehlédnutí v paměťovém zavaděči Claude Code:
Škodlivý repozitář obsahuje zdánlivě normální soubor CLAUDE.md s direktivou @import odkazující na soubor v repozitáři – například @./link.
Tento soubor je symbolický odkaz uložený v Gitu (mode 120000) ukazující na cíl mimo repozitář, například na /etc/passwd nebo ../../../../home/user/.ssh/id_rsa. Git při klonování symbolické odkazy zachovává .
Když vývojář naklonuje repozitář a spustí Claude Code, paměťový zavaděč načte CLAUDE.md a narazí na import @./link. Zkontroluje, zda je lexikální cesta (./link) uvnitř projektu – ano, je – a proto je import klasifikován jako „interní“ a nespustí se dialog o schválení externího importu .
Zavaděč poté následuje symbolický odkaz na skutečný cílový soubor mimo projekt, přečte jeho obsah a vloží jej do počátečního kontextového okna modelu .
Obsah opouští počítač v prvním odchozím požadavku na API Anthropicu – dříve, než model podnikne jakoukoli akci a bez jakéhokoli viditelného volání nástroje. Uživatel nevidí žádné varování .
Volitelně může samostatně známé nastavení ANTHROPIC_BASE_URL v repozitáři přesměrovat odchozí koncový bod na server ovládaný útočníkem, čímž se dokončí exfiltrace .
Novým zjištěním není to, že Claude Code následuje symbolické odkazy – to je zdokumentované a záměrné. Novým zjištěním je obcházení souhlasu: kontrola externího importu probíhá proti nevyřešené cestě, čtení probíhá na vyřešené cestě a paměťový zavaděč nikdy neobdržel opravu rozlišení symbolických odkazů, která byla aplikována na subsystém oprávnění Claude Code ve dvou předchozích CVE .
Reakce Anthropicu
Společnost Tego AI nahlásila problém prostřednictvím platformy HackerOne v červenci 2026. Anthropic uzavřel hlášení jako „Informative“ – tedy jej nepovažoval za bezpečnostní zranitelnost podle svého aktuálního modelu hrozeb .
Zdůvodnění Anthropicu: podle modelu hrozeb Claude Code je bezpečnostní hranicí dialog „důvěřovat této složce“ (trust this folder). Přijetím tohoto dialogu již uživatel uděluje projektu široký přístup ke čtení, úpravám a spouštění. Tego AI nezpochybňuje, že Anthropic tento model konzistentně uplatňuje, ale argumentuje, že zjištění je přesto důležité, protože data opouštějí počítač automaticky, potichu a mimo povědomí uživatele .
Je pozoruhodné, že stejný vzor selhání symlink vs. bezpečnostní kontrola byl již dvakrát opraven v subsystému oprávnění Claude Code:
CVE-2025-59829 (opraveno v září 2025): obcházení deny pravidel pomocí symlinku
CVE-2026-25724 (opraveno v lednu 2026): stejný vzor, obcházení deny pravidel přes symlinky
Obě předchozí opravy vyřešily symlink před kontrolou oprávnění – tato oprava však nikdy nebyla aplikována na cestu paměťového zavaděče .
Širší souvislosti: Ekosystém Claude a bezpečnost AI kódovacích nástrojů
Odhalení Tego AI je druhou chybou v ekosystému Claude během jednoho týdne. Dne 14. července 2026 Tego zveřejnilo, že integrace Claude Tag se Slackem může být aktivována pouhým textem @Claude v jakékoli zprávě, což by mohlo umožnit neoprávněné podnikové akce .
Kromě práce Tego AI nasbíral Claude Code za zhruba rok existence nejméně 28 CVE, včetně:
Dvě kritická úniku z sandboxu s hodnocením CVSS 10.0: CVE-2026-39861 (únik přes symlink) a CVE-2026-25725 (obcházení sandboxu přes settings.json)
CVE-2026-46406 (červen 2026): příkaz /copy zapisoval odpovědi na pevně danou, celosvětově čitelnou dočasnou cestu /tmp/claude/response.md, což umožňovalo každému lokálnímu uživateli číst tajemství
Výzkum Check Point (únor 2026): kritické chyby (CVE-2025-59536, CVE-2026-21852) umožňující RCE a krádež API klíčů prostřednictvím škodlivých konfiguračních souborů na úrovni repozitáře
Meziodvětvový výzkum ukazuje, že to není problém pouze Anthropicu:
GhostApproval (Wiz, červenec 2026): Chyby se symlinky v šesti AI kódovacích asistentech (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) umožnily, aby nastražený repozitář donutil nástroj zapisovat do citlivého souboru, zatímco uživatel schvaluje zápis do neškodného
SymJack (Adversa AI, květen 2026): Jediný útok pomocí hijacku symlinku dosahující RCE napříč šesti produkty (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Uživatel schválí kopii souboru; jádro zapíše jinam
TrustFall (Adversa AI, květen 2026): MCP servery definované v repozitáři se spouštějí automaticky, jakmile uživatel přijme výzvu k důvěře složce
Základní architektonické napětí je v celém odvětví konzistentní: AI kódovací agenti potřebují pro svou užitečnost široký přístup k souborovému systému, shellu a síti – ale právě tento zvýšený přístup je stejné oprávnění, které potřebuje útočník. Každý únik z sandboxu, traversal cesty a obcházení dialogu důvěry pramení z tohoto stejného problému . Útočná plocha se nezmenšuje; nové funkce přidávají nové vektory rychleji, než jsou stávající opravovány.
Zranitelnost spočívá v jednoduchém, ale kritickém přehlédnutí v paměťovém zavaděči Claude Code:
Škodlivý repozitář obsahuje zdánlivě normální soubor CLAUDE.md s direktivou @import odkazující na soubor v repozitáři – například @./link.
Tento soubor je symbolický odkaz uložený v Gitu (mode 120000) ukazující na cíl mimo repozitář, například na /etc/passwd nebo ../../../../home/user/.ssh/id_rsa. Git při klonování symbolické odkazy zachovává .
Když vývojář naklonuje repozitář a spustí Claude Code, paměťový zavaděč načte CLAUDE.md a narazí na import @./link. Zkontroluje, zda je lexikální cesta (./link) uvnitř projektu – ano, je – a proto je import klasifikován jako „interní“ a nespustí se dialog o schválení externího importu .
Zavaděč poté následuje symbolický odkaz na skutečný cílový soubor mimo projekt, přečte jeho obsah a vloží jej do počátečního kontextového okna modelu .
Obsah opouští počítač v prvním odchozím požadavku na API Anthropicu – dříve, než model podnikne jakoukoli akci a bez jakéhokoli viditelného volání nástroje. Uživatel nevidí žádné varování .
Volitelně může samostatně známé nastavení ANTHROPIC_BASE_URL v repozitáři přesměrovat odchozí koncový bod na server ovládaný útočníkem, čímž se dokončí exfiltrace .
Novým zjištěním není to, že Claude Code následuje symbolické odkazy – to je zdokumentované a záměrné. Novým zjištěním je obcházení souhlasu: kontrola externího importu probíhá proti nevyřešené cestě, čtení probíhá na vyřešené cestě a paměťový zavaděč nikdy neobdržel opravu rozlišení symbolických odkazů, která byla aplikována na subsystém oprávnění Claude Code ve dvou předchozích CVE .
Reakce Anthropicu
Společnost Tego AI nahlásila problém prostřednictvím platformy HackerOne v červenci 2026. Anthropic uzavřel hlášení jako „Informative“ – tedy jej nepovažoval za bezpečnostní zranitelnost podle svého aktuálního modelu hrozeb .
Zdůvodnění Anthropicu: podle modelu hrozeb Claude Code je bezpečnostní hranicí dialog „důvěřovat této složce“ (trust this folder). Přijetím tohoto dialogu již uživatel uděluje projektu široký přístup ke čtení, úpravám a spouštění. Tego AI nezpochybňuje, že Anthropic tento model konzistentně uplatňuje, ale argumentuje, že zjištění je přesto důležité, protože data opouštějí počítač automaticky, potichu a mimo povědomí uživatele .
Je pozoruhodné, že stejný vzor selhání symlink vs. bezpečnostní kontrola byl již dvakrát opraven v subsystému oprávnění Claude Code:
CVE-2025-59829 (opraveno v září 2025): obcházení deny pravidel pomocí symlinku
CVE-2026-25724 (opraveno v lednu 2026): stejný vzor, obcházení deny pravidel přes symlinky
Obě předchozí opravy vyřešily symlink před kontrolou oprávnění – tato oprava však nikdy nebyla aplikována na cestu paměťového zavaděče .
Širší souvislosti: Ekosystém Claude a bezpečnost AI kódovacích nástrojů
Odhalení Tego AI je druhou chybou v ekosystému Claude během jednoho týdne. Dne 14. července 2026 Tego zveřejnilo, že integrace Claude Tag se Slackem může být aktivována pouhým textem @Claude v jakékoli zprávě, což by mohlo umožnit neoprávněné podnikové akce .
Kromě práce Tego AI nasbíral Claude Code za zhruba rok existence nejméně 28 CVE, včetně:
Dvě kritická úniku z sandboxu s hodnocením CVSS 10.0: CVE-2026-39861 (únik přes symlink) a CVE-2026-25725 (obcházení sandboxu přes settings.json)
CVE-2026-46406 (červen 2026): příkaz /copy zapisoval odpovědi na pevně danou, celosvětově čitelnou dočasnou cestu /tmp/claude/response.md, což umožňovalo každému lokálnímu uživateli číst tajemství
Výzkum Check Point (únor 2026): kritické chyby (CVE-2025-59536, CVE-2026-21852) umožňující RCE a krádež API klíčů prostřednictvím škodlivých konfiguračních souborů na úrovni repozitáře
Meziodvětvový výzkum ukazuje, že to není problém pouze Anthropicu:
GhostApproval (Wiz, červenec 2026): Chyby se symlinky v šesti AI kódovacích asistentech (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) umožnily, aby nastražený repozitář donutil nástroj zapisovat do citlivého souboru, zatímco uživatel schvaluje zápis do neškodného
SymJack (Adversa AI, květen 2026): Jediný útok pomocí hijacku symlinku dosahující RCE napříč šesti produkty (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Uživatel schválí kopii souboru; jádro zapíše jinam
TrustFall (Adversa AI, květen 2026): MCP servery definované v repozitáři se spouštějí automaticky, jakmile uživatel přijme výzvu k důvěře složce
Základní architektonické napětí je v celém odvětví konzistentní: AI kódovací agenti potřebují pro svou užitečnost široký přístup k souborovému systému, shellu a síti – ale právě tento zvýšený přístup je stejné oprávnění, které potřebuje útočník. Každý únik z sandboxu, traversal cesty a obcházení dialogu důvěry pramení z tohoto stejného problému . Útočná plocha se nezmenšuje; nové funkce přidávají nové vektory rychleji, než jsou stávající opravovány.
