Vulnerabilidad de enlace simbólico en Claude Code: cómo un archivo CLAUDE.md puede robar tus datos en silencio
El 24 de julio de 2026, Tego AI reveló una vulnerabilidad en Claude Code de Anthropic que permite la extracción silenciosa de archivos mediante un enlace simbólico dentro del archivo CLAUDE.md. El ataque explota una 'discrepancia de procedencia': Claude Code verifica la ruta léxica del archivo, pero al leerlo sigue...
Publicado porEditado con DeepSeek-V4-FlashImágenes generadas con GPT Image 1.5
El 24 de julio de 2026, Tego AI reveló una vulnerabilidad en Claude Code de Anthropic que permite la extracción silenciosa de archivos mediante un enlace simbólico dentro del archivo CLAUDE.md.
El ataque explota una 'discrepancia de procedencia': Claude Code verifica la ruta léxica del archivo, pero al leerlo sigue el enlace simbólico hacia archivos fuera del repositorio, sin mostrar advertencias ni diálogos...
Anthropic cerró el reporte como 'Informativo' al considerar que el diálogo de 'confiar en esta carpeta' ya cubre el riesgo, pero Tego AI sostiene que los datos se van de la máquina de forma automática y silenciosa.
Este es el segundo fallo en el ecosistema Claude en una semana, tras la vulnerabilidad en la integración de Claude Tag con Slack.
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
El 24 de julio de 2026, Tego AI reveló una vulnerabilidad de seguridad en Claude Code de Anthropic que permite que un repositorio malicioso extraiga archivos del sistema del desarrollador de forma silenciosa. El ataque explota una discrepancia de procedencia en la forma en que Claude Code maneja los enlaces simbólicos (symlinks) dentro del archivo de instrucciones del proyecto CLAUDE.md. Cuando un desarrollador clona un repositorio y ejecuta Claude Code, un enlace simbólico dentro del repositorio puede hacer que la herramienta lea archivos fuera del proyecto e incluya su contenido en la primera solicitud al modelo, sin ninguna advertencia, diálogo de aprobación ni llamada a herramienta visible .
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
¿Cuál es la respuesta corta a "Vulnerabilidad de enlace simbólico en Claude Code: cómo un archivo CLAUDE.md puede robar tus datos en silencio"?
El 24 de julio de 2026, Tego AI reveló una vulnerabilidad en Claude Code de Anthropic que permite la extracción silenciosa de archivos mediante un enlace simbólico dentro del archivo CLAUDE.md.
¿Cuáles son los puntos clave a validar primero?
El 24 de julio de 2026, Tego AI reveló una vulnerabilidad en Claude Code de Anthropic que permite la extracción silenciosa de archivos mediante un enlace simbólico dentro del archivo CLAUDE.md. El ataque explota una 'discrepancia de procedencia': Claude Code verifica la ruta léxica del archivo, pero al leerlo sigue el enlace simbólico hacia archivos fuera del repositorio, sin mostrar advertencias ni diálogos...
¿Qué debo hacer a continuación en la práctica?
Anthropic cerró el reporte como 'Informativo' al considerar que el diálogo de 'confiar en esta carpeta' ya cubre el riesgo, pero Tego AI sostiene que los datos se van de la máquina de forma automática y silenciosa.
Vulnerabilidad de enlace simbólico en Claude Code: cómo un archivo CLAUDE.md puede robar tus datos en silencio
El 24 de julio de 2026, Tego AI reveló una vulnerabilidad en Claude Code de Anthropic que permite la extracción silenciosa de archivos mediante un enlace simbólico dentro del archivo CLAUDE.md. El ataque explota una 'discrepancia de procedencia': Claude Code verifica la ruta léxica del archivo, pero al leerlo sigue...
Publicado porEditado con DeepSeek-V4-FlashImágenes generadas con GPT Image 1.5
El 24 de julio de 2026, Tego AI reveló una vulnerabilidad en Claude Code de Anthropic que permite la extracción silenciosa de archivos mediante un enlace simbólico dentro del archivo CLAUDE.md.
El ataque explota una 'discrepancia de procedencia': Claude Code verifica la ruta léxica del archivo, pero al leerlo sigue el enlace simbólico hacia archivos fuera del repositorio, sin mostrar advertencias ni diálogos...
Anthropic cerró el reporte como 'Informativo' al considerar que el diálogo de 'confiar en esta carpeta' ya cubre el riesgo, pero Tego AI sostiene que los datos se van de la máquina de forma automática y silenciosa.
Este es el segundo fallo en el ecosistema Claude en una semana, tras la vulnerabilidad en la integración de Claude Tag con Slack.
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
El 24 de julio de 2026, Tego AI reveló una vulnerabilidad de seguridad en Claude Code de Anthropic que permite que un repositorio malicioso extraiga archivos del sistema del desarrollador de forma silenciosa. El ataque explota una discrepancia de procedencia en la forma en que Claude Code maneja los enlaces simbólicos (symlinks) dentro del archivo de instrucciones del proyecto CLAUDE.md. Cuando un desarrollador clona un repositorio y ejecuta Claude Code, un enlace simbólico dentro del repositorio puede hacer que la herramienta lea archivos fuera del proyecto e incluya su contenido en la primera solicitud al modelo, sin ninguna advertencia, diálogo de aprobación ni llamada a herramienta visible .
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
¿Cuál es la respuesta corta a "Vulnerabilidad de enlace simbólico en Claude Code: cómo un archivo CLAUDE.md puede robar tus datos en silencio"?
El 24 de julio de 2026, Tego AI reveló una vulnerabilidad en Claude Code de Anthropic que permite la extracción silenciosa de archivos mediante un enlace simbólico dentro del archivo CLAUDE.md.
¿Cuáles son los puntos clave a validar primero?
El 24 de julio de 2026, Tego AI reveló una vulnerabilidad en Claude Code de Anthropic que permite la extracción silenciosa de archivos mediante un enlace simbólico dentro del archivo CLAUDE.md. El ataque explota una 'discrepancia de procedencia': Claude Code verifica la ruta léxica del archivo, pero al leerlo sigue el enlace simbólico hacia archivos fuera del repositorio, sin mostrar advertencias ni diálogos...
¿Qué debo hacer a continuación en la práctica?
Anthropic cerró el reporte como 'Informativo' al considerar que el diálogo de 'confiar en esta carpeta' ya cubre el riesgo, pero Tego AI sostiene que los datos se van de la máquina de forma automática y silenciosa.
La vulnerabilidad se basa en un descuido simple pero crítico en el cargador de memoria de Claude Code:
Un repositorio malicioso contiene un archivo CLAUDE.md de apariencia normal con una directiva @import que apunta a un archivo dentro del repositorio, por ejemplo, @./link.
Ese archivo es un enlace simbólico almacenado en Git (modo 120000 en Git) que apunta a un destino fuera del repositorio, como /etc/passwd o ../../../../home/user/.ssh/id_rsa. Git conserva los enlaces simbólicos al clonar .
Cuando un desarrollador clona el repositorio e inicia Claude Code, el cargador de memoria lee CLAUDE.md y encuentra la importación @./link. Verifica si la ruta léxica (./link) está dentro del proyecto y, al ser así, clasifica la importación como "interna", sin mostrar el diálogo de aprobación para importaciones externas .
El cargador sigue el enlace simbólico hasta el archivo de destino real fuera del proyecto, lee su contenido y lo coloca en la ventana de contexto inicial del modelo .
El contenido sale de la máquina en la primera solicitud saliente a la API de Anthropic, antes de que el modelo haya tomado alguna acción y sin ninguna llamada a herramienta visible. El usuario no ve ninguna advertencia .
Opcionalmente, una configuración ANTHROPIC_BASE_URL conocida y definida en el repositorio puede redirigir el punto de conexión saliente a un servidor controlado por el atacante, completando la extracción .
El hallazgo novedoso no es que Claude Code siga enlaces simbólicos, algo que está documentado y es intencional. Lo novedoso es la omisión del consentimiento: la verificación de importación externa se realiza sobre la ruta no resuelta, la lectura opera sobre la ruta resuelta, y el cargador de memoria nunca recibió la corrección de resolución de enlaces simbólicos que se aplicó al subsistema de permisos de Claude Code en dos CVE anteriores .
La respuesta de Anthropic
Tego AI reportó el problema a través de HackerOne en julio de 2026. Anthropic cerró el reporte como "Informativo", es decir, no lo trató como una vulnerabilidad de seguridad según su modelo de amenazas actual .
El razonamiento de Anthropic: bajo el modelo de amenazas de Claude Code, el diálogo de "confiar en esta carpeta" es la frontera de seguridad. Aceptar ese diálogo ya otorga al proyecto amplio acceso de lectura, edición y ejecución. Tego AI no discute que Anthropic aplique este modelo de manera consistente, pero argumenta que el hallazgo sigue siendo importante porque los datos salen de la máquina de forma automática, silenciosa y sin que el usuario sea consciente .
Es notable que el mismo patrón de fallo entre enlaces simbólicos y verificación de seguridad se había corregido dos veces antes en el subsistema de permisos de Claude Code:
CVE-2025-59829 (corregido en septiembre de 2025): omisión de reglas de denegación mediante enlaces simbólicos en permisos de archivos
CVE-2026-25724 (corregido en enero de 2026): el mismo patrón de nuevo, omisión de reglas de denegación mediante enlaces simbólicos
Ambas correcciones anteriores resolvían el enlace simbólico antes de verificar los permisos, pero esa corrección nunca se aplicó a la ruta del cargador de memoria .
Patrón más amplio: el ecosistema Claude y la seguridad de las herramientas de programación con IA
La divulgación de Tego AI es el segundo fallo en el ecosistema Claude en una semana. El 14 de julio de 2026, Tego reveló que la integración de Claude Tag con Slack podía activarse con el texto simple @Claude en cualquier mensaje, lo que potencialmente permitía acciones empresariales no autorizadas .
Más allá del trabajo de Tego, Claude Code ha acumulado al menos 28 CVE en aproximadamente un año de existencia, incluyendo:
Dos escapes de "sandbox" críticos con puntuación CVSS 10.0: CVE-2026-39861 (escape de sandbox mediante enlace simbólico) y CVE-2026-25725 (omisión de sandbox mediante settings.json)
CVE-2026-46406 (junio de 2026): el comando /copy escribía las respuestas en una ruta temporal hardcodeada y legible por cualquier usuario, /tmp/claude/response.md, permitiendo que cualquier usuario local leyera secretos
Investigación de Check Point (febrero de 2026): fallos críticos (CVE-2025-59536, CVE-2026-21852) que permitían ejecución remota de código y robo de claves API a través de archivos de configuración maliciosos a nivel de repositorio
Investigación de toda la industria muestra que esto no es exclusivo de Anthropic:
GhostApproval (Wiz, julio de 2026): Fallos de enlaces simbólicos en seis asistentes de programación con IA (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) permitían que un repositorio manipulado hiciera que la herramienta escribiera en un archivo sensible mientras el usuario aprobaba escribir en uno inofensivo
SymJack (Adversa AI, mayo de 2026): Un único ataque de secuestro de enlace simbólico que lograba ejecución remota de código en seis productos (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). El usuario aprueba una copia de archivo; el kernel escribe en otro lugar
TrustFall (Adversa AI, mayo de 2026): Los servidores MCP definidos en el repositorio se ejecutan automáticamente una vez que el usuario acepta el mensaje de confianza en la carpeta
La tensión arquitectónica subyacente es consistente en toda la industria: los agentes de programación con IA necesitan un amplio acceso al sistema de archivos, al shell y a la red para ser útiles, pero ese acceso elevado es el mismo privilegio que necesita un atacante. Cada escape de "sandbox", cada desvío de ruta y cada omisión del diálogo de confianza surge de este mismo desafío . La superficie de ataque no se reduce; las nuevas funciones añaden nuevos vectores más rápido de lo que se corrigen los existentes.
La vulnerabilidad se basa en un descuido simple pero crítico en el cargador de memoria de Claude Code:
Un repositorio malicioso contiene un archivo CLAUDE.md de apariencia normal con una directiva @import que apunta a un archivo dentro del repositorio, por ejemplo, @./link.
Ese archivo es un enlace simbólico almacenado en Git (modo 120000 en Git) que apunta a un destino fuera del repositorio, como /etc/passwd o ../../../../home/user/.ssh/id_rsa. Git conserva los enlaces simbólicos al clonar .
Cuando un desarrollador clona el repositorio e inicia Claude Code, el cargador de memoria lee CLAUDE.md y encuentra la importación @./link. Verifica si la ruta léxica (./link) está dentro del proyecto y, al ser así, clasifica la importación como "interna", sin mostrar el diálogo de aprobación para importaciones externas .
El cargador sigue el enlace simbólico hasta el archivo de destino real fuera del proyecto, lee su contenido y lo coloca en la ventana de contexto inicial del modelo .
El contenido sale de la máquina en la primera solicitud saliente a la API de Anthropic, antes de que el modelo haya tomado alguna acción y sin ninguna llamada a herramienta visible. El usuario no ve ninguna advertencia .
Opcionalmente, una configuración ANTHROPIC_BASE_URL conocida y definida en el repositorio puede redirigir el punto de conexión saliente a un servidor controlado por el atacante, completando la extracción .
El hallazgo novedoso no es que Claude Code siga enlaces simbólicos, algo que está documentado y es intencional. Lo novedoso es la omisión del consentimiento: la verificación de importación externa se realiza sobre la ruta no resuelta, la lectura opera sobre la ruta resuelta, y el cargador de memoria nunca recibió la corrección de resolución de enlaces simbólicos que se aplicó al subsistema de permisos de Claude Code en dos CVE anteriores .
La respuesta de Anthropic
Tego AI reportó el problema a través de HackerOne en julio de 2026. Anthropic cerró el reporte como "Informativo", es decir, no lo trató como una vulnerabilidad de seguridad según su modelo de amenazas actual .
El razonamiento de Anthropic: bajo el modelo de amenazas de Claude Code, el diálogo de "confiar en esta carpeta" es la frontera de seguridad. Aceptar ese diálogo ya otorga al proyecto amplio acceso de lectura, edición y ejecución. Tego AI no discute que Anthropic aplique este modelo de manera consistente, pero argumenta que el hallazgo sigue siendo importante porque los datos salen de la máquina de forma automática, silenciosa y sin que el usuario sea consciente .
Es notable que el mismo patrón de fallo entre enlaces simbólicos y verificación de seguridad se había corregido dos veces antes en el subsistema de permisos de Claude Code:
CVE-2025-59829 (corregido en septiembre de 2025): omisión de reglas de denegación mediante enlaces simbólicos en permisos de archivos
CVE-2026-25724 (corregido en enero de 2026): el mismo patrón de nuevo, omisión de reglas de denegación mediante enlaces simbólicos
Ambas correcciones anteriores resolvían el enlace simbólico antes de verificar los permisos, pero esa corrección nunca se aplicó a la ruta del cargador de memoria .
Patrón más amplio: el ecosistema Claude y la seguridad de las herramientas de programación con IA
La divulgación de Tego AI es el segundo fallo en el ecosistema Claude en una semana. El 14 de julio de 2026, Tego reveló que la integración de Claude Tag con Slack podía activarse con el texto simple @Claude en cualquier mensaje, lo que potencialmente permitía acciones empresariales no autorizadas .
Más allá del trabajo de Tego, Claude Code ha acumulado al menos 28 CVE en aproximadamente un año de existencia, incluyendo:
Dos escapes de "sandbox" críticos con puntuación CVSS 10.0: CVE-2026-39861 (escape de sandbox mediante enlace simbólico) y CVE-2026-25725 (omisión de sandbox mediante settings.json)
CVE-2026-46406 (junio de 2026): el comando /copy escribía las respuestas en una ruta temporal hardcodeada y legible por cualquier usuario, /tmp/claude/response.md, permitiendo que cualquier usuario local leyera secretos
Investigación de Check Point (febrero de 2026): fallos críticos (CVE-2025-59536, CVE-2026-21852) que permitían ejecución remota de código y robo de claves API a través de archivos de configuración maliciosos a nivel de repositorio
Investigación de toda la industria muestra que esto no es exclusivo de Anthropic:
GhostApproval (Wiz, julio de 2026): Fallos de enlaces simbólicos en seis asistentes de programación con IA (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) permitían que un repositorio manipulado hiciera que la herramienta escribiera en un archivo sensible mientras el usuario aprobaba escribir en uno inofensivo
SymJack (Adversa AI, mayo de 2026): Un único ataque de secuestro de enlace simbólico que lograba ejecución remota de código en seis productos (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). El usuario aprueba una copia de archivo; el kernel escribe en otro lugar
TrustFall (Adversa AI, mayo de 2026): Los servidores MCP definidos en el repositorio se ejecutan automáticamente una vez que el usuario acepta el mensaje de confianza en la carpeta
La tensión arquitectónica subyacente es consistente en toda la industria: los agentes de programación con IA necesitan un amplio acceso al sistema de archivos, al shell y a la red para ser útiles, pero ese acceso elevado es el mismo privilegio que necesita un atacante. Cada escape de "sandbox", cada desvío de ruta y cada omisión del diálogo de confianza surge de este mismo desafío . La superficie de ataque no se reduce; las nuevas funciones añaden nuevos vectores más rápido de lo que se corrigen los existentes.
