Comment fonctionne l'attaque

La vulnérabilité repose sur un oubli simple mais critique dans le chargeur de mémoire de Claude Code :

1. Un dépôt malveillant contient un fichier CLAUDE.md d'apparence normale avec une directive @import pointant vers un fichier du dépôt — par exemple, @./link .
2. Ce fichier est un lien symbolique stocké dans Git (mode 120000 dans Git) pointant vers une cible en dehors du dépôt, comme /etc/passwd ou ../../../../home/user/.ssh/id_rsa. Git préserve les liens symboliques lors du clonage .
3. Lorsqu'un développeur clone le dépôt et lance Claude Code, le chargeur de mémoire lit CLAUDE.md et rencontre l'import @./link. Il vérifie si le chemin lexical (./link) se trouve à l'intérieur du projet — c'est le cas — donc l'import est classé comme « interne » et aucune boîte de dialogue d'approbation pour les imports externes ne s'affiche .
4. Le chargeur suit ensuite le lien symbolique jusqu'à la cible réelle située en dehors du projet, lit son contenu et le place dans la fenêtre de contexte initiale du modèle .
5. Le contenu quitte la machine dès la première requête sortante vers l'API d'Anthropic — avant que le modèle n'ait pris la moindre action et sans aucun appel d'outil visible. L'utilisateur ne voit aucun avertissement .
6. Optionnellement, un paramètre ANTHROPIC_BASE_URL déjà connu et présent dans le dépôt peut rediriger le point de terminaison sortant vers un serveur contrôlé par l'attaquant, complétant ainsi l'exfiltration .

La découverte novatrice n'est pas que Claude Code suit les liens symboliques — cela est documenté et intentionnel. La découverte novatrice est le contournement du consentement : la vérification des imports externes s'effectue sur le chemin non résolu, la lecture s'effectue sur le chemin résolu, et le chargeur de mémoire n'a jamais reçu le correctif de résolution des liens symboliques qui avait été appliqué au sous-système d'autorisations de Claude Code dans deux CVE antérieures .

La réponse d'Anthropic

Tego AI a signalé le problème via HackerOne en juillet 2026. Anthropic a clôturé le rapport comme « Informatif » — ce qui signifie qu'il ne l'a pas traité comme une vulnérabilité de sécurité selon son modèle de menace actuel .

La justification d'Anthropic : dans le modèle de menace de Claude Code, la boîte de dialogue « faire confiance à ce dossier » constitue la barrière de sécurité. Accepter cette boîte de dialogue accorde déjà au projet un large accès en lecture, édition et exécution. Tego AI ne conteste pas qu'Anthropic applique ce modèle de manière cohérente, mais soutient que la découverte reste importante car les données quittent la machine automatiquement, silencieusement et à l'insu de l'utilisateur .

Notablement, le même schéma d'échec (lien symbolique versus vérification de sécurité) avait déjà été corrigé deux fois auparavant dans le sous-système d'autorisations de Claude Code :

• CVE-2025-59829 (corrigé en septembre 2025) : contournement par lien symbolique des règles de refus dans les autorisations de fichiers
• CVE-2026-25724 (corrigé en janvier 2026) : même schéma, contournement des règles de refus via des liens symboliques

Ces deux correctifs antérieurs résolvaient le lien symbolique avant de vérifier les autorisations — mais ce correctif n'a jamais été appliqué au chemin de code du chargeur de mémoire .

Schéma plus large : l'écosystème Claude et la sécurité des outils de codage IA

La divulgation de Tego AI est la deuxième faille de l'écosystème Claude en une semaine. Le 14 juillet 2026, Tego avait révélé que l'intégration Slack de Claude Tag pouvait être déclenchée par un simple texte @Claude dans n'importe quel message, permettant potentiellement des actions non autorisées en entreprise .

Au-delà des travaux de Tego, Claude Code a accumulé au moins 28 CVE en environ un an d'existence, notamment :

• Deux évasions de bac à sable critiques CVSS 10.0 : CVE-2026-39861 (évasion par lien symbolique) et CVE-2026-25725 (contournement du bac à sable par settings.json)
• CVE-2026-46406 (juin 2026) : la commande /copy écrivait les réponses dans un chemin temporaire codé en dur et lisible par tous /tmp/claude/response.md, permettant à tout utilisateur local de lire les secrets
• Recherche Check Point (février 2026) : failles critiques (CVE-2025-59536, CVE-2026-21852) permettant l'exécution de code à distance et le vol de clés API via des fichiers de configuration malveillants au niveau du dépôt

La recherche intersectorielle montre que cela n'est pas propre à Anthropic :

• GhostApproval (Wiz, juillet 2026) : des failles de type lien symbolique dans six assistants de codage IA (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) permettent à un dépôt piégé de faire écrire l'outil dans un fichier sensible pendant que l'utilisateur approuve l'écriture dans un fichier inoffensif
• SymJack (Adversa AI, mai 2026) : une seule attaque par détournement de lien symbolique permettant l'exécution de code à distance sur six produits (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). L'utilisateur approuve une copie de fichier ; le noyau écrit ailleurs
• TrustFall (Adversa AI, mai 2026) : les serveurs MCP définis par le dépôt s'exécutent automatiquement dès que l'utilisateur accepte l'invite de confiance du dossier

La tension architecturale sous-jacente est cohérente dans toute l'industrie : les agents de codage IA ont besoin d'un large accès au système de fichiers, au shell et au réseau pour être utiles — mais cet accès élevé est le même privilège dont un attaquant a besoin. Chaque évasion de bac à sable, traversée de chemin et contournement de dialogue de confiance découle de ce même défi . La surface d'attaque ne diminue pas ; les nouvelles fonctionnalités ajoutent plus de vecteurs que les correctifs n'en éliminent.

Comment fonctionne l'attaque

La vulnérabilité repose sur un oubli simple mais critique dans le chargeur de mémoire de Claude Code :

1. Un dépôt malveillant contient un fichier CLAUDE.md d'apparence normale avec une directive @import pointant vers un fichier du dépôt — par exemple, @./link .
2. Ce fichier est un lien symbolique stocké dans Git (mode 120000 dans Git) pointant vers une cible en dehors du dépôt, comme /etc/passwd ou ../../../../home/user/.ssh/id_rsa. Git préserve les liens symboliques lors du clonage .
3. Lorsqu'un développeur clone le dépôt et lance Claude Code, le chargeur de mémoire lit CLAUDE.md et rencontre l'import @./link. Il vérifie si le chemin lexical (./link) se trouve à l'intérieur du projet — c'est le cas — donc l'import est classé comme « interne » et aucune boîte de dialogue d'approbation pour les imports externes ne s'affiche .
4. Le chargeur suit ensuite le lien symbolique jusqu'à la cible réelle située en dehors du projet, lit son contenu et le place dans la fenêtre de contexte initiale du modèle .
5. Le contenu quitte la machine dès la première requête sortante vers l'API d'Anthropic — avant que le modèle n'ait pris la moindre action et sans aucun appel d'outil visible. L'utilisateur ne voit aucun avertissement .
6. Optionnellement, un paramètre ANTHROPIC_BASE_URL déjà connu et présent dans le dépôt peut rediriger le point de terminaison sortant vers un serveur contrôlé par l'attaquant, complétant ainsi l'exfiltration .

La découverte novatrice n'est pas que Claude Code suit les liens symboliques — cela est documenté et intentionnel. La découverte novatrice est le contournement du consentement : la vérification des imports externes s'effectue sur le chemin non résolu, la lecture s'effectue sur le chemin résolu, et le chargeur de mémoire n'a jamais reçu le correctif de résolution des liens symboliques qui avait été appliqué au sous-système d'autorisations de Claude Code dans deux CVE antérieures .

La réponse d'Anthropic

Tego AI a signalé le problème via HackerOne en juillet 2026. Anthropic a clôturé le rapport comme « Informatif » — ce qui signifie qu'il ne l'a pas traité comme une vulnérabilité de sécurité selon son modèle de menace actuel .

La justification d'Anthropic : dans le modèle de menace de Claude Code, la boîte de dialogue « faire confiance à ce dossier » constitue la barrière de sécurité. Accepter cette boîte de dialogue accorde déjà au projet un large accès en lecture, édition et exécution. Tego AI ne conteste pas qu'Anthropic applique ce modèle de manière cohérente, mais soutient que la découverte reste importante car les données quittent la machine automatiquement, silencieusement et à l'insu de l'utilisateur .

Notablement, le même schéma d'échec (lien symbolique versus vérification de sécurité) avait déjà été corrigé deux fois auparavant dans le sous-système d'autorisations de Claude Code :

• CVE-2025-59829 (corrigé en septembre 2025) : contournement par lien symbolique des règles de refus dans les autorisations de fichiers
• CVE-2026-25724 (corrigé en janvier 2026) : même schéma, contournement des règles de refus via des liens symboliques

Ces deux correctifs antérieurs résolvaient le lien symbolique avant de vérifier les autorisations — mais ce correctif n'a jamais été appliqué au chemin de code du chargeur de mémoire .

Schéma plus large : l'écosystème Claude et la sécurité des outils de codage IA

La divulgation de Tego AI est la deuxième faille de l'écosystème Claude en une semaine. Le 14 juillet 2026, Tego avait révélé que l'intégration Slack de Claude Tag pouvait être déclenchée par un simple texte @Claude dans n'importe quel message, permettant potentiellement des actions non autorisées en entreprise .

Au-delà des travaux de Tego, Claude Code a accumulé au moins 28 CVE en environ un an d'existence, notamment :

• Deux évasions de bac à sable critiques CVSS 10.0 : CVE-2026-39861 (évasion par lien symbolique) et CVE-2026-25725 (contournement du bac à sable par settings.json)
• CVE-2026-46406 (juin 2026) : la commande /copy écrivait les réponses dans un chemin temporaire codé en dur et lisible par tous /tmp/claude/response.md, permettant à tout utilisateur local de lire les secrets
• Recherche Check Point (février 2026) : failles critiques (CVE-2025-59536, CVE-2026-21852) permettant l'exécution de code à distance et le vol de clés API via des fichiers de configuration malveillants au niveau du dépôt

La recherche intersectorielle montre que cela n'est pas propre à Anthropic :

• GhostApproval (Wiz, juillet 2026) : des failles de type lien symbolique dans six assistants de codage IA (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) permettent à un dépôt piégé de faire écrire l'outil dans un fichier sensible pendant que l'utilisateur approuve l'écriture dans un fichier inoffensif
• SymJack (Adversa AI, mai 2026) : une seule attaque par détournement de lien symbolique permettant l'exécution de code à distance sur six produits (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). L'utilisateur approuve une copie de fichier ; le noyau écrit ailleurs
• TrustFall (Adversa AI, mai 2026) : les serveurs MCP définis par le dépôt s'exécutent automatiquement dès que l'utilisateur accepte l'invite de confiance du dossier

La tension architecturale sous-jacente est cohérente dans toute l'industrie : les agents de codage IA ont besoin d'un large accès au système de fichiers, au shell et au réseau pour être utiles — mais cet accès élevé est le même privilège dont un attaquant a besoin. Chaque évasion de bac à sable, traversée de chemin et contournement de dialogue de confiance découle de ce même défi . La surface d'attaque ne diminue pas ; les nouvelles fonctionnalités ajoutent plus de vecteurs que les correctifs n'en éliminent.