Sårbarhed i Claude Code: Sådan kan en CLAUDE.md-fil stille stjæle dine data

Det nye fund er ikke at Claude Code følger symlinks – det er dokumenteret og bevidst. Det nye er omgåelsen af samtykke: kontrollen for ekstern import kører mod den uopløste sti, læsningen opererer på den opløste sti, og hukommelsesindlæseren modtog aldrig den symlink-opløsningsrettelse, der blev anvendt på Claude Codes tilladelsessystem i to tidligere CVE'er .

Anthropics svar

Tego AI rapporterede problemet via HackerOne i juli 2026. Anthropic lukkede rapporten som 'Informativ' – hvilket betyder, at de ikke behandlede det som en sikkerhedssårbarhed under deres nuværende trusselsmodel .

Anthropics begrundelse: Under Claude Codes trusselsmodel er dialogen 'Stol på denne mappe' sikkerhedsgrænsen. At acceptere denne dialog giver allerede projektet bred læse-, redigerings- og eksekveringsadgang. Tego AI bestrider ikke, at Anthropic konsekvent anvender denne model, men argumenterer for, at fundet stadig er vigtigt, fordi data forlader maskinen automatisk, lydløst og uden brugerens bevidsthed .

Bemærkelsesværdigt nok var det samme symlink-vs.-sikkerhedskontrol-fejlmønster blevet rettet to gange før i Claude Codes tilladelsessystem:

• CVE-2025-59829 (rettet september 2025): symlink-omgåelse af nægteregler i filtilladelser
• CVE-2026-25724 (rettet januar 2026): samme mønster igen, omgåelse af nægteregler via symlinks

Begge tidligere rettelser opløste symlinket før kontrol af tilladelser – men den rettelse blev aldrig anvendt på hukommelsesindlæserens kodesti .

Bredere mønster: Claude-økosystemet og AI-kodningsværktøjers sikkerhed

Tego AIs afsløring er den anden Claude-økosystemfejl på en uge. Den 14. juli 2026 afslørede Tego, at Claude Tags Slack-integration kunne udløses af almindelig @Claude-tekst i enhver besked, hvilket potentielt muliggør uautoriserede virksomhedshandlinger .

Ud over Tego's arbejde har Claude Code akkumuleret mindst 28 CVE'er på cirka et år, herunder:

• To CVSS 10.0 kritiske sandbox-escapes: CVE-2026-39861 (symlink sandbox-escape) og CVE-2026-25725 (settings.json sandbox-omgåelse)
• CVE-2026-46406 (juni 2026): /copy-kommandoen skrev svar til en hardcoded verdenslæsbar temp-sti /tmp/claude/response.md, hvilket lod enhver lokal bruger læse hemmeligheder
• Check Point Research (februar 2026): kritiske fejl (CVE-2025-59536, CVE-2026-21852) muliggjorde RCE og API-nøgletyveri via ondsindede konfigurationsfiler på repo-niveau

Forskning på tværs af branchen viser, at dette ikke er unikt for Anthropic:

• GhostApproval (Wiz, juli 2026): Symlink-fejl i seks AI-kodningsassistenter (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) lod et snedigt repo få værktøjet til at skrive til en følsom fil, mens brugeren godkender at skrive til en harmløs
• SymJack (Adversa AI, maj 2026): Et enkelt symlink-kapringsangreb, der opnåede RCE på tværs af seks produkter (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Brugeren godkender en filkopi; kernen skriver et andet sted
• TrustFall (Adversa AI, maj 2026): Repo-definerede MCP-servere udføres automatisk, når brugeren accepterer mappetillidsprompten

Den underliggende arkitektoniske spænding er konsekvent på tværs af branchen: AI-kodningsagenter har brug for bred filsystem-, shell- og netværksadgang for at være nyttige – men den forhøjede adgang er den samme privilegie, en angriber har brug for. Hver sandbox-escape, stitravarsering og tillidsdialog-omgåelse stammer fra denne samme udfordring . Angrebsfladen skrumper ikke; nye funktioner tilføjer nye vektorer hurtigere, end eksisterende rettes.