Sårbarhed i Claude Code: Sådan kan en CLAUDE.md-fil stille stjæle dine data
Den 24. juli 2026 afslørede Tego AI en sårbarhed i Anthropics Claude Code: en CLAUDE.md fil med et @import direktiv, der peger på et symbolsk link i repositoriet, kan stille læse filer uden for projektet og inkludere...
Udgivet afRedigeret med DeepSeek-V4-FlashBilleder genereret med GPT Image 1.5
Den 24. juli 2026 afslørede Tego AI en sårbarhed i Anthropics Claude Code: en CLAUDE.md fil med et @import direktiv, der peger på et symbolsk link i repositoriet, kan stille læse filer uden for projektet og inkludere...
Angrebet udnytter et 'provenance mismatch': Claude Code kontrollerer den leksikalske sti (inde i projektet), men følger symlinket ved læsning (uden for projektet).
Anthropic lukkede rapporten som 'Informativ' og henviste til sikkerhedsgrænsen i dialogen 'Stol på denne mappe'.
Claude Code har nu mindst 28 CVEs på cirka et år, inklusive to CVSS 10.0 sandbox escapes.
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Sårbarhed i Claude Code: Sådan kan en CLAUDE.md-fil stille stjæle dine data
Den 24. juli 2026 offentliggjorde Tego AI en sikkerhedssårbarhed i Anthropics Claude Code, der gør det muligt for et ondsindet repository stille at eksfiltrere filer fra en udviklers maskine. Angrebet udnytter et provenance-mismatch i, hvordan Claude Code håndterer symbolske links (symlinks) i projektinstruktionsfilen CLAUDE.md. Når en udvikler kloner et repository og starter Claude Code, kan et symlink i repoet få værktøjet til at læse filer uden for projektet og inkludere deres indhold i den første modelanmodning – uden nogen advarsel, godkendelsesdialog eller synligt kald .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Sårbarhed i Claude Code: Sådan kan en CLAUDE.md-fil stille stjæle dine data"?
Den 24. juli 2026 afslørede Tego AI en sårbarhed i Anthropics Claude Code: en CLAUDE.md fil med et @import direktiv, der peger på et symbolsk link i repositoriet, kan stille læse filer uden for projektet og inkludere...
What are the key points to validate first?
Den 24. juli 2026 afslørede Tego AI en sårbarhed i Anthropics Claude Code: en CLAUDE.md fil med et @import direktiv, der peger på et symbolsk link i repositoriet, kan stille læse filer uden for projektet og inkludere... Angrebet udnytter et 'provenance mismatch': Claude Code kontrollerer den leksikalske sti (inde i projektet), men følger symlinket ved læsning (uden for projektet).
What should I do next in practice?
Anthropic lukkede rapporten som 'Informativ' og henviste til sikkerhedsgrænsen i dialogen 'Stol på denne mappe'.
Sårbarhed i Claude Code: Sådan kan en CLAUDE.md-fil stille stjæle dine data
Den 24. juli 2026 afslørede Tego AI en sårbarhed i Anthropics Claude Code: en CLAUDE.md fil med et @import direktiv, der peger på et symbolsk link i repositoriet, kan stille læse filer uden for projektet og inkludere...
Udgivet afRedigeret med DeepSeek-V4-FlashBilleder genereret med GPT Image 1.5
Den 24. juli 2026 afslørede Tego AI en sårbarhed i Anthropics Claude Code: en CLAUDE.md fil med et @import direktiv, der peger på et symbolsk link i repositoriet, kan stille læse filer uden for projektet og inkludere...
Angrebet udnytter et 'provenance mismatch': Claude Code kontrollerer den leksikalske sti (inde i projektet), men følger symlinket ved læsning (uden for projektet).
Anthropic lukkede rapporten som 'Informativ' og henviste til sikkerhedsgrænsen i dialogen 'Stol på denne mappe'.
Claude Code har nu mindst 28 CVEs på cirka et år, inklusive to CVSS 10.0 sandbox escapes.
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Sårbarhed i Claude Code: Sådan kan en CLAUDE.md-fil stille stjæle dine data
Den 24. juli 2026 offentliggjorde Tego AI en sikkerhedssårbarhed i Anthropics Claude Code, der gør det muligt for et ondsindet repository stille at eksfiltrere filer fra en udviklers maskine. Angrebet udnytter et provenance-mismatch i, hvordan Claude Code håndterer symbolske links (symlinks) i projektinstruktionsfilen CLAUDE.md. Når en udvikler kloner et repository og starter Claude Code, kan et symlink i repoet få værktøjet til at læse filer uden for projektet og inkludere deres indhold i den første modelanmodning – uden nogen advarsel, godkendelsesdialog eller synligt kald .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Sårbarhed i Claude Code: Sådan kan en CLAUDE.md-fil stille stjæle dine data"?
Den 24. juli 2026 afslørede Tego AI en sårbarhed i Anthropics Claude Code: en CLAUDE.md fil med et @import direktiv, der peger på et symbolsk link i repositoriet, kan stille læse filer uden for projektet og inkludere...
What are the key points to validate first?
Den 24. juli 2026 afslørede Tego AI en sårbarhed i Anthropics Claude Code: en CLAUDE.md fil med et @import direktiv, der peger på et symbolsk link i repositoriet, kan stille læse filer uden for projektet og inkludere... Angrebet udnytter et 'provenance mismatch': Claude Code kontrollerer den leksikalske sti (inde i projektet), men følger symlinket ved læsning (uden for projektet).
What should I do next in practice?
Anthropic lukkede rapporten som 'Informativ' og henviste til sikkerhedsgrænsen i dialogen 'Stol på denne mappe'.
Sårbarheden ligger i en simpel, men kritisk forglemmelse i Claude Codes hukommelsesindlæser:
Et ondsindet repository indeholder en normal-udseende CLAUDE.md-fil med et @import-direktiv, der peger på en fil i repoet – for eksempel @./link.
Den fil er et Git-lagret symbolsk link (mode 120000 i Git), der peger på et mål uden for repositoriet, såsom /etc/passwd eller ../../../../home/user/.ssh/id_rsa. Git bevarer symlinks ved kloning .
Når en udvikler kloner repoet og starter Claude Code, læser hukommelsesindlæseren CLAUDE.md og støder på @./link-importen. Den kontrollerer, om den leksikalske sti (./link) er inde i projektet – det er den – så importen klassificeres som 'intern', og der vises ingen godkendelsesdialog for ekstern import .
Indlæseren følger derefter symlinket til det faktiske mål uden for projektet, læser indholdet og placerer det i modellens indledende kontekstvindue .
Indholdet forlader maskinen i den første udgående anmodning til Anthropics API – før modellen har handlet, og uden noget synligt værktøjskald. Brugeren ser ingen advarsel .
Valgfrit kan en separat kendt ANTHROPIC_BASE_URL-indstilling i repoet omdirigere den udgående slutning til en server, angriberen kontrollerer, hvilket fuldender eksfiltrationen .
Det nye fund er ikke at Claude Code følger symlinks – det er dokumenteret og bevidst. Det nye er omgåelsen af samtykke: kontrollen for ekstern import kører mod den uopløste sti, læsningen opererer på den opløste sti, og hukommelsesindlæseren modtog aldrig den symlink-opløsningsrettelse, der blev anvendt på Claude Codes tilladelsessystem i to tidligere CVE'er .
Anthropics svar
Tego AI rapporterede problemet via HackerOne i juli 2026. Anthropic lukkede rapporten som 'Informativ' – hvilket betyder, at de ikke behandlede det som en sikkerhedssårbarhed under deres nuværende trusselsmodel .
Anthropics begrundelse: Under Claude Codes trusselsmodel er dialogen 'Stol på denne mappe' sikkerhedsgrænsen. At acceptere denne dialog giver allerede projektet bred læse-, redigerings- og eksekveringsadgang. Tego AI bestrider ikke, at Anthropic konsekvent anvender denne model, men argumenterer for, at fundet stadig er vigtigt, fordi data forlader maskinen automatisk, lydløst og uden brugerens bevidsthed .
Bemærkelsesværdigt nok var det samme symlink-vs.-sikkerhedskontrol-fejlmønster blevet rettet to gange før i Claude Codes tilladelsessystem:
CVE-2025-59829 (rettet september 2025): symlink-omgåelse af nægteregler i filtilladelser
CVE-2026-25724 (rettet januar 2026): samme mønster igen, omgåelse af nægteregler via symlinks
Begge tidligere rettelser opløste symlinket før kontrol af tilladelser – men den rettelse blev aldrig anvendt på hukommelsesindlæserens kodesti .
Bredere mønster: Claude-økosystemet og AI-kodningsværktøjers sikkerhed
Tego AIs afsløring er den anden Claude-økosystemfejl på en uge. Den 14. juli 2026 afslørede Tego, at Claude Tags Slack-integration kunne udløses af almindelig @Claude-tekst i enhver besked, hvilket potentielt muliggør uautoriserede virksomhedshandlinger .
Ud over Tego's arbejde har Claude Code akkumuleret mindst 28 CVE'er på cirka et år, herunder:
To CVSS 10.0 kritiske sandbox-escapes: CVE-2026-39861 (symlink sandbox-escape) og CVE-2026-25725 (settings.json sandbox-omgåelse)
CVE-2026-46406 (juni 2026): /copy-kommandoen skrev svar til en hardcoded verdenslæsbar temp-sti /tmp/claude/response.md, hvilket lod enhver lokal bruger læse hemmeligheder
Check Point Research (februar 2026): kritiske fejl (CVE-2025-59536, CVE-2026-21852) muliggjorde RCE og API-nøgletyveri via ondsindede konfigurationsfiler på repo-niveau
Forskning på tværs af branchen viser, at dette ikke er unikt for Anthropic:
GhostApproval (Wiz, juli 2026): Symlink-fejl i seks AI-kodningsassistenter (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) lod et snedigt repo få værktøjet til at skrive til en følsom fil, mens brugeren godkender at skrive til en harmløs
SymJack (Adversa AI, maj 2026): Et enkelt symlink-kapringsangreb, der opnåede RCE på tværs af seks produkter (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Brugeren godkender en filkopi; kernen skriver et andet sted
TrustFall (Adversa AI, maj 2026): Repo-definerede MCP-servere udføres automatisk, når brugeren accepterer mappetillidsprompten
Den underliggende arkitektoniske spænding er konsekvent på tværs af branchen: AI-kodningsagenter har brug for bred filsystem-, shell- og netværksadgang for at være nyttige – men den forhøjede adgang er den samme privilegie, en angriber har brug for. Hver sandbox-escape, stitravarsering og tillidsdialog-omgåelse stammer fra denne samme udfordring . Angrebsfladen skrumper ikke; nye funktioner tilføjer nye vektorer hurtigere, end eksisterende rettes.
Sårbarheden ligger i en simpel, men kritisk forglemmelse i Claude Codes hukommelsesindlæser:
Et ondsindet repository indeholder en normal-udseende CLAUDE.md-fil med et @import-direktiv, der peger på en fil i repoet – for eksempel @./link.
Den fil er et Git-lagret symbolsk link (mode 120000 i Git), der peger på et mål uden for repositoriet, såsom /etc/passwd eller ../../../../home/user/.ssh/id_rsa. Git bevarer symlinks ved kloning .
Når en udvikler kloner repoet og starter Claude Code, læser hukommelsesindlæseren CLAUDE.md og støder på @./link-importen. Den kontrollerer, om den leksikalske sti (./link) er inde i projektet – det er den – så importen klassificeres som 'intern', og der vises ingen godkendelsesdialog for ekstern import .
Indlæseren følger derefter symlinket til det faktiske mål uden for projektet, læser indholdet og placerer det i modellens indledende kontekstvindue .
Indholdet forlader maskinen i den første udgående anmodning til Anthropics API – før modellen har handlet, og uden noget synligt værktøjskald. Brugeren ser ingen advarsel .
Valgfrit kan en separat kendt ANTHROPIC_BASE_URL-indstilling i repoet omdirigere den udgående slutning til en server, angriberen kontrollerer, hvilket fuldender eksfiltrationen .
Det nye fund er ikke at Claude Code følger symlinks – det er dokumenteret og bevidst. Det nye er omgåelsen af samtykke: kontrollen for ekstern import kører mod den uopløste sti, læsningen opererer på den opløste sti, og hukommelsesindlæseren modtog aldrig den symlink-opløsningsrettelse, der blev anvendt på Claude Codes tilladelsessystem i to tidligere CVE'er .
Anthropics svar
Tego AI rapporterede problemet via HackerOne i juli 2026. Anthropic lukkede rapporten som 'Informativ' – hvilket betyder, at de ikke behandlede det som en sikkerhedssårbarhed under deres nuværende trusselsmodel .
Anthropics begrundelse: Under Claude Codes trusselsmodel er dialogen 'Stol på denne mappe' sikkerhedsgrænsen. At acceptere denne dialog giver allerede projektet bred læse-, redigerings- og eksekveringsadgang. Tego AI bestrider ikke, at Anthropic konsekvent anvender denne model, men argumenterer for, at fundet stadig er vigtigt, fordi data forlader maskinen automatisk, lydløst og uden brugerens bevidsthed .
Bemærkelsesværdigt nok var det samme symlink-vs.-sikkerhedskontrol-fejlmønster blevet rettet to gange før i Claude Codes tilladelsessystem:
CVE-2025-59829 (rettet september 2025): symlink-omgåelse af nægteregler i filtilladelser
CVE-2026-25724 (rettet januar 2026): samme mønster igen, omgåelse af nægteregler via symlinks
Begge tidligere rettelser opløste symlinket før kontrol af tilladelser – men den rettelse blev aldrig anvendt på hukommelsesindlæserens kodesti .
Bredere mønster: Claude-økosystemet og AI-kodningsværktøjers sikkerhed
Tego AIs afsløring er den anden Claude-økosystemfejl på en uge. Den 14. juli 2026 afslørede Tego, at Claude Tags Slack-integration kunne udløses af almindelig @Claude-tekst i enhver besked, hvilket potentielt muliggør uautoriserede virksomhedshandlinger .
Ud over Tego's arbejde har Claude Code akkumuleret mindst 28 CVE'er på cirka et år, herunder:
To CVSS 10.0 kritiske sandbox-escapes: CVE-2026-39861 (symlink sandbox-escape) og CVE-2026-25725 (settings.json sandbox-omgåelse)
CVE-2026-46406 (juni 2026): /copy-kommandoen skrev svar til en hardcoded verdenslæsbar temp-sti /tmp/claude/response.md, hvilket lod enhver lokal bruger læse hemmeligheder
Check Point Research (februar 2026): kritiske fejl (CVE-2025-59536, CVE-2026-21852) muliggjorde RCE og API-nøgletyveri via ondsindede konfigurationsfiler på repo-niveau
Forskning på tværs af branchen viser, at dette ikke er unikt for Anthropic:
GhostApproval (Wiz, juli 2026): Symlink-fejl i seks AI-kodningsassistenter (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) lod et snedigt repo få værktøjet til at skrive til en følsom fil, mens brugeren godkender at skrive til en harmløs
SymJack (Adversa AI, maj 2026): Et enkelt symlink-kapringsangreb, der opnåede RCE på tværs af seks produkter (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Brugeren godkender en filkopi; kernen skriver et andet sted
TrustFall (Adversa AI, maj 2026): Repo-definerede MCP-servere udføres automatisk, når brugeren accepterer mappetillidsprompten
Den underliggende arkitektoniske spænding er konsekvent på tværs af branchen: AI-kodningsagenter har brug for bred filsystem-, shell- og netværksadgang for at være nyttige – men den forhøjede adgang er den samme privilegie, en angriber har brug for. Hver sandbox-escape, stitravarsering og tillidsdialog-omgåelse stammer fra denne samme udfordring . Angrebsfladen skrumper ikke; nye funktioner tilføjer nye vektorer hurtigere, end eksisterende rettes.
