Zranitelnost Claude Code: Soubor CLAUDE.md s odkazem může potichu odcizit vaše data

Novým zjištěním není to, že Claude Code následuje symbolické odkazy – to je zdokumentované a záměrné. Novým zjištěním je obcházení souhlasu: kontrola externího importu probíhá proti nevyřešené cestě, čtení probíhá na vyřešené cestě a paměťový zavaděč nikdy neobdržel opravu rozlišení symbolických odkazů, která byla aplikována na subsystém oprávnění Claude Code ve dvou předchozích CVE .

Reakce Anthropicu

Společnost Tego AI nahlásila problém prostřednictvím platformy HackerOne v červenci 2026. Anthropic uzavřel hlášení jako „Informative“ – tedy jej nepovažoval za bezpečnostní zranitelnost podle svého aktuálního modelu hrozeb .

Zdůvodnění Anthropicu: podle modelu hrozeb Claude Code je bezpečnostní hranicí dialog „důvěřovat této složce“ (trust this folder). Přijetím tohoto dialogu již uživatel uděluje projektu široký přístup ke čtení, úpravám a spouštění. Tego AI nezpochybňuje, že Anthropic tento model konzistentně uplatňuje, ale argumentuje, že zjištění je přesto důležité, protože data opouštějí počítač automaticky, potichu a mimo povědomí uživatele .

Je pozoruhodné, že stejný vzor selhání symlink vs. bezpečnostní kontrola byl již dvakrát opraven v subsystému oprávnění Claude Code:

• CVE-2025-59829 (opraveno v září 2025): obcházení deny pravidel pomocí symlinku
• CVE-2026-25724 (opraveno v lednu 2026): stejný vzor, obcházení deny pravidel přes symlinky

Obě předchozí opravy vyřešily symlink před kontrolou oprávnění – tato oprava však nikdy nebyla aplikována na cestu paměťového zavaděče .

Širší souvislosti: Ekosystém Claude a bezpečnost AI kódovacích nástrojů

Odhalení Tego AI je druhou chybou v ekosystému Claude během jednoho týdne. Dne 14. července 2026 Tego zveřejnilo, že integrace Claude Tag se Slackem může být aktivována pouhým textem @Claude v jakékoli zprávě, což by mohlo umožnit neoprávněné podnikové akce .

Kromě práce Tego AI nasbíral Claude Code za zhruba rok existence nejméně 28 CVE, včetně:

• Dvě kritická úniku z sandboxu s hodnocením CVSS 10.0: CVE-2026-39861 (únik přes symlink) a CVE-2026-25725 (obcházení sandboxu přes settings.json)
• CVE-2026-46406 (červen 2026): příkaz /copy zapisoval odpovědi na pevně danou, celosvětově čitelnou dočasnou cestu /tmp/claude/response.md, což umožňovalo každému lokálnímu uživateli číst tajemství
• Výzkum Check Point (únor 2026): kritické chyby (CVE-2025-59536, CVE-2026-21852) umožňující RCE a krádež API klíčů prostřednictvím škodlivých konfiguračních souborů na úrovni repozitáře

Meziodvětvový výzkum ukazuje, že to není problém pouze Anthropicu:

• GhostApproval (Wiz, červenec 2026): Chyby se symlinky v šesti AI kódovacích asistentech (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) umožnily, aby nastražený repozitář donutil nástroj zapisovat do citlivého souboru, zatímco uživatel schvaluje zápis do neškodného
• SymJack (Adversa AI, květen 2026): Jediný útok pomocí hijacku symlinku dosahující RCE napříč šesti produkty (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Uživatel schválí kopii souboru; jádro zapíše jinam
• TrustFall (Adversa AI, květen 2026): MCP servery definované v repozitáři se spouštějí automaticky, jakmile uživatel přijme výzvu k důvěře složce

Základní architektonické napětí je v celém odvětví konzistentní: AI kódovací agenti potřebují pro svou užitečnost široký přístup k souborovému systému, shellu a síti – ale právě tento zvýšený přístup je stejné oprávnění, které potřebuje útočník. Každý únik z sandboxu, traversal cesty a obcházení dialogu důvěry pramení z tohoto stejného problému . Útočná plocha se nezmenšuje; nové funkce přidávají nové vektory rychleji, než jsou stávající opravovány.