Claude Code Sicherheitslücke: Wie eine CLAUDE.md-Datei unbemerkt Ihre Daten stehlen kann
Am 24. Juli 2026 veröffentlichte Tego AI eine Sicherheitslücke in Claude Code: Eine CLAUDE.md Datei mit einer @import Anweisung, die auf einen symbolischen Link im Repository zeigt, kann unbemerkt Dateien außerhalb de...
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Am 24. Juli 2026 veröffentlichte Tego AI eine Sicherheitslücke in Claude Code: Eine CLAUDE.md Datei mit einer @import Anweisung, die auf einen symbolischen Link im Repository zeigt, kann unbemerkt Dateien außerhalb de...
Durch die sogenannte „Provenienz Diskrepanz“ prüft Claude Code den lexikalischen Pfad des Imports, folgt aber beim Lesen dem Symlink.
Anthropic schloss den Bericht als „informativ“ – das Unternehmen sieht die Sicherheitsgrenze im „Trust this folder“ Dialog.
Es ist der zweite Claude Ökosystem Fehler innerhalb einer Woche und reiht sich in ein breites Muster von Sicherheitsproblemen bei KI Coding Tools ein, das branchenweit Forscher beschäftigt.
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Stille Datenexfiltration über Symlinks in Claude Code
Am 24. Juli 2026 veröffentlichte die israelische Cybersicherheitsfirma Tego AI eine Sicherheitslücke in Anthropics KI-Code-Assistenten Claude Code. Der Angriff nutzt eine Provenienz-Diskrepanz in der Art und Weise, wie Claude Code symbolische Links (Symlinks) in der Projekt-Instruktionsdatei CLAUDE.md verarbeitet. Klont ein Entwickler ein bösartiges Repository und startet Claude Code, kann ein darin enthaltener Symlink das Tool dazu bringen, Dateien außerhalb des Projekts zu lesen und deren Inhalt – ohne Warnung, Bestätigungsdialog oder sichtbaren Tool-Aufruf – in die erste Modellanfrage einzuschleusen .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Claude Code Sicherheitslücke: Wie eine CLAUDE.md-Datei unbemerkt Ihre Daten stehlen kann“?
Am 24. Juli 2026 veröffentlichte Tego AI eine Sicherheitslücke in Claude Code: Eine CLAUDE.md Datei mit einer @import Anweisung, die auf einen symbolischen Link im Repository zeigt, kann unbemerkt Dateien außerhalb de...
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Am 24. Juli 2026 veröffentlichte Tego AI eine Sicherheitslücke in Claude Code: Eine CLAUDE.md Datei mit einer @import Anweisung, die auf einen symbolischen Link im Repository zeigt, kann unbemerkt Dateien außerhalb de... Durch die sogenannte „Provenienz Diskrepanz“ prüft Claude Code den lexikalischen Pfad des Imports, folgt aber beim Lesen dem Symlink.
Was soll ich als nächstes in der Praxis tun?
Anthropic schloss den Bericht als „informativ“ – das Unternehmen sieht die Sicherheitsgrenze im „Trust this folder“ Dialog.
Claude Code Sicherheitslücke: Wie eine CLAUDE.md-Datei unbemerkt Ihre Daten stehlen kann
Am 24. Juli 2026 veröffentlichte Tego AI eine Sicherheitslücke in Claude Code: Eine CLAUDE.md Datei mit einer @import Anweisung, die auf einen symbolischen Link im Repository zeigt, kann unbemerkt Dateien außerhalb de...
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Am 24. Juli 2026 veröffentlichte Tego AI eine Sicherheitslücke in Claude Code: Eine CLAUDE.md Datei mit einer @import Anweisung, die auf einen symbolischen Link im Repository zeigt, kann unbemerkt Dateien außerhalb de...
Durch die sogenannte „Provenienz Diskrepanz“ prüft Claude Code den lexikalischen Pfad des Imports, folgt aber beim Lesen dem Symlink.
Anthropic schloss den Bericht als „informativ“ – das Unternehmen sieht die Sicherheitsgrenze im „Trust this folder“ Dialog.
Es ist der zweite Claude Ökosystem Fehler innerhalb einer Woche und reiht sich in ein breites Muster von Sicherheitsproblemen bei KI Coding Tools ein, das branchenweit Forscher beschäftigt.
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Stille Datenexfiltration über Symlinks in Claude Code
Am 24. Juli 2026 veröffentlichte die israelische Cybersicherheitsfirma Tego AI eine Sicherheitslücke in Anthropics KI-Code-Assistenten Claude Code. Der Angriff nutzt eine Provenienz-Diskrepanz in der Art und Weise, wie Claude Code symbolische Links (Symlinks) in der Projekt-Instruktionsdatei CLAUDE.md verarbeitet. Klont ein Entwickler ein bösartiges Repository und startet Claude Code, kann ein darin enthaltener Symlink das Tool dazu bringen, Dateien außerhalb des Projekts zu lesen und deren Inhalt – ohne Warnung, Bestätigungsdialog oder sichtbaren Tool-Aufruf – in die erste Modellanfrage einzuschleusen .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Claude Code Sicherheitslücke: Wie eine CLAUDE.md-Datei unbemerkt Ihre Daten stehlen kann“?
Am 24. Juli 2026 veröffentlichte Tego AI eine Sicherheitslücke in Claude Code: Eine CLAUDE.md Datei mit einer @import Anweisung, die auf einen symbolischen Link im Repository zeigt, kann unbemerkt Dateien außerhalb de...
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Am 24. Juli 2026 veröffentlichte Tego AI eine Sicherheitslücke in Claude Code: Eine CLAUDE.md Datei mit einer @import Anweisung, die auf einen symbolischen Link im Repository zeigt, kann unbemerkt Dateien außerhalb de... Durch die sogenannte „Provenienz Diskrepanz“ prüft Claude Code den lexikalischen Pfad des Imports, folgt aber beim Lesen dem Symlink.
Was soll ich als nächstes in der Praxis tun?
Anthropic schloss den Bericht als „informativ“ – das Unternehmen sieht die Sicherheitsgrenze im „Trust this folder“ Dialog.
Die Schwachstelle beruht auf einem kritischen Versehen im Memory-Loader von Claude Code:
Ein bösartiges Repository enthält eine normal aussehende CLAUDE.md-Datei mit einer @import-Direktive, die auf eine Datei im Repository verweist – z.B. @./link.
Bei dieser Datei handelt es sich um einen in Git abgelegten symbolischen Link (Modus 120000 in Git), der auf ein Ziel außerhalb des Repositorys zeigt, etwa auf /etc/passwd oder ../../../../home/user/.ssh/id_rsa. Git bewahrt Symlinks beim Klonen auf .
Wenn ein Entwickler das Repository klont und Claude Code startet, liest der Memory-Loader CLAUDE.md und stößt auf den @./link-Import. Er prüft, ob der lexikalische Pfad (./link) innerhalb des Projekts liegt – das ist der Fall –, also wird der Import als „intern" eingestuft und kein Dialog zur Genehmigung externer Importe ausgelöst .
Der Loader folgt dann dem Symlink zum eigentlichen Ziel außerhalb des Projekts, liest dessen Inhalt aus und platziert ihn im initialen Kontext-Fenster des Modells .
Der Inhalt verlässt den Rechner mit der ersten ausgehenden Anfrage an die Anthropic-API – bevor das Modell irgendeine Aktion ausgeführt hat und ohne sichtbaren Tool-Aufruf. Der Benutzer sieht keine Warnung .
Optional kann eine separat bekannte ANTHROPIC_BASE_URL-Einstellung im Repository den ausgehenden Endpunkt auf einen Server umleiten, den der Angreifer kontrolliert, was die Exfiltration vervollständigt .
Die eigentliche Neuigkeit ist nicht, dass Claude Code Symlinks folgt – das ist dokumentiert und beabsichtigt. Die Neuigkeit ist die Umgehung der Zustimmung: Die Prüfung auf externe Importe erfolgt anhand des unaufgelösten Pfads, das Lesen erfolgt anhand des aufgelösten Pfads, und der Memory-Loader erhielt nie die Symlink-Auflösungs-Korrektur, die in zwei früheren CVEs auf das Berechtigungssubsystem von Claude Code angewendet wurde .
Die Antwort von Anthropic
Tego AI meldete das Problem im Juli 2026 über HackerOne. Anthropic schloss den Bericht als „Informativ" – das Unternehmen behandelte ihn also nicht als Sicherheitslücke im Rahmen seines aktuellen Bedrohungsmodells .
Anthropics Begründung: Im Bedrohungsmodell von Claude Code stellt der „Trust this folder"-Dialog die Sicherheitsgrenze dar. Wer diesen Dialog akzeptiert, gewährt dem Projekt bereits umfassende Lese-, Bearbeitungs- und Ausführungsrechte. Tego AI bestreitet nicht, dass Anthropic dieses Modell konsequent anwendet, argumentiert aber, dass der Befund dennoch relevant ist, weil die Daten automatisch, still und ohne Wissen des Benutzers den Rechner verlassen .
Bemerkenswerterweise war das gleiche Muster des Symlink-vs.-Sicherheitspr-Check-Versagens bereits zweimal zuvor im Berechtigungssubsystem von Claude Code behoben worden:
CVE-2025-59829 (behoben September 2025): Symlink-Umgehung von Verweigerungsregeln in Dateiberechtigungen
CVE-2026-25724 (behoben Januar 2026): das gleiche Muster erneut, Umgehung von Verweigerungsregeln via Symlinks
Beide früheren Korrekturen lösten den Symlink vor der Berechtigungsprüfung auf – aber diese Korrektur wurde nie auf den Code-Pfad des Memory-Loaders angewendet .
Breiteres Muster: Claude-Ökosystem und KI-Coding-Tool-Sicherheit
Tego AIs Offenlegung ist der zweite Fehler im Claude-Ökosystem innerhalb einer Woche. Am 14. Juli 2026 deckte Tego auf, dass die Slack-Integration von Claude Tag durch einfachen @Claude-Text in jeder Nachricht ausgelöst werden konnte, was möglicherweise unbefugte Aktionen im Unternehmen ermöglichte .
Über Tegos Arbeit hinaus hat Claude Code in etwa einem Jahr seines Bestehens mindestens 28 CVEs angehäuft, darunter:
Zwei kritische Sandbox-Escapes mit CVSS 10.0: CVE-2026-39861 (Symlink-Sandbox-Escape) und CVE-2026-25725 (settings.json Sandbox-Umgehung)
CVE-2026-46406 (Juni 2026): Der /copy-Befehl schrieb Antworten in einen fest codierten, weltweit lesbaren Temp-Pfad /tmp/claude/response.md, sodass jeder lokale Benutzer Geheimnisse lesen konnte
Check Point Research (Februar 2026): Kritische Schwachstellen (CVE-2025-59536, CVE-2026-21852), die RCE und API-Key-Diebstahl über bösartige Konfigurationsdateien auf Repository-Ebene ermöglichten
Branchenübergreifende Forschung zeigt, dass dies nicht nur Anthropic betrifft:
GhostApproval (Wiz, Juli 2026): Symlink-Fehler in sechs KI-Code-Assistenten (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) erlaubten es einem präparierten Repository, das Tool in eine sensible Datei schreiben zu lassen, während der Benutzer das Schreiben in eine harmlose Datei genehmigte
SymJack (Adversa AI, Mai 2026): Ein einzelner Symlink-Hijacking-Angriff, der RCE in sechs Produkten (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI) erreichte. Der Benutzer genehmigt eine Dateikopie; der Kernel schreibt woanders hin
TrustFall (Adversa AI, Mai 2026): Im Repository definierte MCP-Server werden automatisch ausgeführt, sobald der Benutzer die Ordner-Vertrauensaufforderung akzeptiert
Die zugrundeliegende architektonische Spannung ist branchenweit konsistent: KI-Code-Agenten benötigen umfassende Dateisystem-, Shell- und Netzwerkzugriffe, um nützlich zu sein – aber dieser erhöhte Zugriff ist genau das Privileg, das ein Angreifer braucht. Jeder Sandbox-Escape, jede Pfad-Traversierung und jede Trust-Dialog-Umgehung entspringt dieser gleichen Herausforderung . Die Angriffsfläche schrumpft nicht; neue Funktionen fügen schneller neue Vektoren hinzu, als bestehende gepatcht werden.
Die Schwachstelle beruht auf einem kritischen Versehen im Memory-Loader von Claude Code:
Ein bösartiges Repository enthält eine normal aussehende CLAUDE.md-Datei mit einer @import-Direktive, die auf eine Datei im Repository verweist – z.B. @./link.
Bei dieser Datei handelt es sich um einen in Git abgelegten symbolischen Link (Modus 120000 in Git), der auf ein Ziel außerhalb des Repositorys zeigt, etwa auf /etc/passwd oder ../../../../home/user/.ssh/id_rsa. Git bewahrt Symlinks beim Klonen auf .
Wenn ein Entwickler das Repository klont und Claude Code startet, liest der Memory-Loader CLAUDE.md und stößt auf den @./link-Import. Er prüft, ob der lexikalische Pfad (./link) innerhalb des Projekts liegt – das ist der Fall –, also wird der Import als „intern" eingestuft und kein Dialog zur Genehmigung externer Importe ausgelöst .
Der Loader folgt dann dem Symlink zum eigentlichen Ziel außerhalb des Projekts, liest dessen Inhalt aus und platziert ihn im initialen Kontext-Fenster des Modells .
Der Inhalt verlässt den Rechner mit der ersten ausgehenden Anfrage an die Anthropic-API – bevor das Modell irgendeine Aktion ausgeführt hat und ohne sichtbaren Tool-Aufruf. Der Benutzer sieht keine Warnung .
Optional kann eine separat bekannte ANTHROPIC_BASE_URL-Einstellung im Repository den ausgehenden Endpunkt auf einen Server umleiten, den der Angreifer kontrolliert, was die Exfiltration vervollständigt .
Die eigentliche Neuigkeit ist nicht, dass Claude Code Symlinks folgt – das ist dokumentiert und beabsichtigt. Die Neuigkeit ist die Umgehung der Zustimmung: Die Prüfung auf externe Importe erfolgt anhand des unaufgelösten Pfads, das Lesen erfolgt anhand des aufgelösten Pfads, und der Memory-Loader erhielt nie die Symlink-Auflösungs-Korrektur, die in zwei früheren CVEs auf das Berechtigungssubsystem von Claude Code angewendet wurde .
Die Antwort von Anthropic
Tego AI meldete das Problem im Juli 2026 über HackerOne. Anthropic schloss den Bericht als „Informativ" – das Unternehmen behandelte ihn also nicht als Sicherheitslücke im Rahmen seines aktuellen Bedrohungsmodells .
Anthropics Begründung: Im Bedrohungsmodell von Claude Code stellt der „Trust this folder"-Dialog die Sicherheitsgrenze dar. Wer diesen Dialog akzeptiert, gewährt dem Projekt bereits umfassende Lese-, Bearbeitungs- und Ausführungsrechte. Tego AI bestreitet nicht, dass Anthropic dieses Modell konsequent anwendet, argumentiert aber, dass der Befund dennoch relevant ist, weil die Daten automatisch, still und ohne Wissen des Benutzers den Rechner verlassen .
Bemerkenswerterweise war das gleiche Muster des Symlink-vs.-Sicherheitspr-Check-Versagens bereits zweimal zuvor im Berechtigungssubsystem von Claude Code behoben worden:
CVE-2025-59829 (behoben September 2025): Symlink-Umgehung von Verweigerungsregeln in Dateiberechtigungen
CVE-2026-25724 (behoben Januar 2026): das gleiche Muster erneut, Umgehung von Verweigerungsregeln via Symlinks
Beide früheren Korrekturen lösten den Symlink vor der Berechtigungsprüfung auf – aber diese Korrektur wurde nie auf den Code-Pfad des Memory-Loaders angewendet .
Breiteres Muster: Claude-Ökosystem und KI-Coding-Tool-Sicherheit
Tego AIs Offenlegung ist der zweite Fehler im Claude-Ökosystem innerhalb einer Woche. Am 14. Juli 2026 deckte Tego auf, dass die Slack-Integration von Claude Tag durch einfachen @Claude-Text in jeder Nachricht ausgelöst werden konnte, was möglicherweise unbefugte Aktionen im Unternehmen ermöglichte .
Über Tegos Arbeit hinaus hat Claude Code in etwa einem Jahr seines Bestehens mindestens 28 CVEs angehäuft, darunter:
Zwei kritische Sandbox-Escapes mit CVSS 10.0: CVE-2026-39861 (Symlink-Sandbox-Escape) und CVE-2026-25725 (settings.json Sandbox-Umgehung)
CVE-2026-46406 (Juni 2026): Der /copy-Befehl schrieb Antworten in einen fest codierten, weltweit lesbaren Temp-Pfad /tmp/claude/response.md, sodass jeder lokale Benutzer Geheimnisse lesen konnte
Check Point Research (Februar 2026): Kritische Schwachstellen (CVE-2025-59536, CVE-2026-21852), die RCE und API-Key-Diebstahl über bösartige Konfigurationsdateien auf Repository-Ebene ermöglichten
Branchenübergreifende Forschung zeigt, dass dies nicht nur Anthropic betrifft:
GhostApproval (Wiz, Juli 2026): Symlink-Fehler in sechs KI-Code-Assistenten (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) erlaubten es einem präparierten Repository, das Tool in eine sensible Datei schreiben zu lassen, während der Benutzer das Schreiben in eine harmlose Datei genehmigte
SymJack (Adversa AI, Mai 2026): Ein einzelner Symlink-Hijacking-Angriff, der RCE in sechs Produkten (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI) erreichte. Der Benutzer genehmigt eine Dateikopie; der Kernel schreibt woanders hin
TrustFall (Adversa AI, Mai 2026): Im Repository definierte MCP-Server werden automatisch ausgeführt, sobald der Benutzer die Ordner-Vertrauensaufforderung akzeptiert
Die zugrundeliegende architektonische Spannung ist branchenweit konsistent: KI-Code-Agenten benötigen umfassende Dateisystem-, Shell- und Netzwerkzugriffe, um nützlich zu sein – aber dieser erhöhte Zugriff ist genau das Privileg, das ein Angreifer braucht. Jeder Sandbox-Escape, jede Pfad-Traversierung und jede Trust-Dialog-Umgehung entspringt dieser gleichen Herausforderung . Die Angriffsfläche schrumpft nicht; neue Funktionen fügen schneller neue Vektoren hinzu, als bestehende gepatcht werden.
