Vulnerabilidad de enlace simbólico en Claude Code: cómo un archivo CLAUDE.md puede robar tus datos en silencio

El 24 de julio de 2026, Tego AI reveló una vulnerabilidad de seguridad en Claude Code de Anthropic que permite que un repositorio malicioso extraiga archivos del sistema del desarrollador de forma silenciosa. El ataque explota una discrepancia de procedencia en la forma en que Claude Code maneja los enlaces simbólicos (symlinks) dentro del archivo de instrucciones del proyecto CLAUDE.md. Cuando un desarrollador clona un repositorio y ejecuta Claude Code, un enlace simbólico dentro del repositorio puede hacer que la herramienta lea archivos fuera del proyecto e incluya su contenido en la primera solicitud al modelo, sin ninguna advertencia, diálogo de aprobación ni llamada a herramienta visible .

Cómo funciona el ataque

La vulnerabilidad se basa en un descuido simple pero crítico en el cargador de memoria de Claude Code:

1. Un repositorio malicioso contiene un archivo CLAUDE.md de apariencia normal con una directiva @import que apunta a un archivo dentro del repositorio, por ejemplo, @./link .
2. Ese archivo es un enlace simbólico almacenado en Git (modo 120000 en Git) que apunta a un destino fuera del repositorio, como /etc/passwd o ../../../../home/user/.ssh/id_rsa. Git conserva los enlaces simbólicos al clonar .
3. Cuando un desarrollador clona el repositorio e inicia Claude Code, el cargador de memoria lee CLAUDE.md y encuentra la importación @./link. Verifica si la ruta léxica (./link) está dentro del proyecto y, al ser así, clasifica la importación como "interna", sin mostrar el diálogo de aprobación para importaciones externas .
4. El cargador sigue el enlace simbólico hasta el archivo de destino real fuera del proyecto, lee su contenido y lo coloca en la ventana de contexto inicial del modelo .
5. El contenido sale de la máquina en la primera solicitud saliente a la API de Anthropic, antes de que el modelo haya tomado alguna acción y sin ninguna llamada a herramienta visible. El usuario no ve ninguna advertencia .
6. Opcionalmente, una configuración ANTHROPIC_BASE_URL conocida y definida en el repositorio puede redirigir el punto de conexión saliente a un servidor controlado por el atacante, completando la extracción .

El hallazgo novedoso no es que Claude Code siga enlaces simbólicos, algo que está documentado y es intencional. Lo novedoso es la omisión del consentimiento: la verificación de importación externa se realiza sobre la ruta no resuelta, la lectura opera sobre la ruta resuelta, y el cargador de memoria nunca recibió la corrección de resolución de enlaces simbólicos que se aplicó al subsistema de permisos de Claude Code en dos CVE anteriores .

La respuesta de Anthropic

Tego AI reportó el problema a través de HackerOne en julio de 2026. Anthropic cerró el reporte como "Informativo", es decir, no lo trató como una vulnerabilidad de seguridad según su modelo de amenazas actual .

El razonamiento de Anthropic: bajo el modelo de amenazas de Claude Code, el diálogo de "confiar en esta carpeta" es la frontera de seguridad. Aceptar ese diálogo ya otorga al proyecto amplio acceso de lectura, edición y ejecución. Tego AI no discute que Anthropic aplique este modelo de manera consistente, pero argumenta que el hallazgo sigue siendo importante porque los datos salen de la máquina de forma automática, silenciosa y sin que el usuario sea consciente .

Es notable que el mismo patrón de fallo entre enlaces simbólicos y verificación de seguridad se había corregido dos veces antes en el subsistema de permisos de Claude Code:

• CVE-2025-59829 (corregido en septiembre de 2025): omisión de reglas de denegación mediante enlaces simbólicos en permisos de archivos
• CVE-2026-25724 (corregido en enero de 2026): el mismo patrón de nuevo, omisión de reglas de denegación mediante enlaces simbólicos

Ambas correcciones anteriores resolvían el enlace simbólico antes de verificar los permisos, pero esa corrección nunca se aplicó a la ruta del cargador de memoria .

Patrón más amplio: el ecosistema Claude y la seguridad de las herramientas de programación con IA

La divulgación de Tego AI es el segundo fallo en el ecosistema Claude en una semana. El 14 de julio de 2026, Tego reveló que la integración de Claude Tag con Slack podía activarse con el texto simple @Claude en cualquier mensaje, lo que potencialmente permitía acciones empresariales no autorizadas .

Más allá del trabajo de Tego, Claude Code ha acumulado al menos 28 CVE en aproximadamente un año de existencia, incluyendo:

• Dos escapes de "sandbox" críticos con puntuación CVSS 10.0: CVE-2026-39861 (escape de sandbox mediante enlace simbólico) y CVE-2026-25725 (omisión de sandbox mediante settings.json)
• CVE-2026-46406 (junio de 2026): el comando /copy escribía las respuestas en una ruta temporal hardcodeada y legible por cualquier usuario, /tmp/claude/response.md, permitiendo que cualquier usuario local leyera secretos
• Investigación de Check Point (febrero de 2026): fallos críticos (CVE-2025-59536, CVE-2026-21852) que permitían ejecución remota de código y robo de claves API a través de archivos de configuración maliciosos a nivel de repositorio

Investigación de toda la industria muestra que esto no es exclusivo de Anthropic:

• GhostApproval (Wiz, julio de 2026): Fallos de enlaces simbólicos en seis asistentes de programación con IA (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) permitían que un repositorio manipulado hiciera que la herramienta escribiera en un archivo sensible mientras el usuario aprobaba escribir en uno inofensivo
• SymJack (Adversa AI, mayo de 2026): Un único ataque de secuestro de enlace simbólico que lograba ejecución remota de código en seis productos (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). El usuario aprueba una copia de archivo; el kernel escribe en otro lugar
• TrustFall (Adversa AI, mayo de 2026): Los servidores MCP definidos en el repositorio se ejecutan automáticamente una vez que el usuario acepta el mensaje de confianza en la carpeta

La tensión arquitectónica subyacente es consistente en toda la industria: los agentes de programación con IA necesitan un amplio acceso al sistema de archivos, al shell y a la red para ser útiles, pero ese acceso elevado es el mismo privilegio que necesita un atacante. Cada escape de "sandbox", cada desvío de ruta y cada omisión del diálogo de confianza surge de este mismo desafío . La superficie de ataque no se reduce; las nuevas funciones añaden nuevos vectores más rápido de lo que se corrigen los existentes.