פרצת ה-Symlink של Claude Code: איך קובץ CLAUDE.md יכול לגנוב את הנתונים שלך בשקט
ב 24 ביולי 2026, Tego AI חשפה פגיעות ב Claude Code של Anthropic: קובץ CLAUDE.md המכיל הפניית @import לקישור סימלי בתוך המאגר יכול לקרוא בשקט קבצים מחוץ לפרויקט ולהעביר את תוכנם למודל בבקשה הראשונה, ללא אזהרה או אישור... ההתקפה מנצלת 'חוסר התאמה במקור' (provenance mismatch): Claude Code בודק את הנתיב המילולי של הקובץ...
פורסם על ידינערך באמצעות DeepSeek-V4-Flashהתמונות נוצרו באמצעות GPT Image 1.5
ב 24 ביולי 2026, Tego AI חשפה פגיעות ב Claude Code של Anthropic: קובץ CLAUDE.md המכיל הפניית @import לקישור סימלי בתוך המאגר יכול לקרוא בשקט קבצים מחוץ לפרויקט ולהעביר את תוכנם למודל בבקשה הראשונה, ללא אזהרה או אישור...
ההתקפה מנצלת 'חוסר התאמה במקור' (provenance mismatch): Claude Code בודק את הנתיב המילולי של הקובץ (שנמצא בתוך הפרויקט), אך בעת הקריאה הוא עוקב אחרי הקישור הסימלי לקובץ מחוץ לפרויקט, ובכך עוקף את מנגנון האישור לייבוא ח...
Anthropic סגרה את הדיווח בתור 'אינפורמטיבי' (Informative), בטענה שתיבת הדו שיח 'אמון בתיקייה' (trust this folder) מהווה את גבול האבטחה, אך Tego AI טוענת שהנתונים יוצאים מהמכונה באופן אוטומטי וללא מודעות המשתמש [3][17].
דפוס הבעיה זהה לשתי פגיעויות קודמות שתוקנו ב Claude Code (CVE 2025 59829, CVE 2026 25724), אך התיקון מעולם לא יושם בנתיב טעינת הזיכרון [15].
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
ב-24 ביולי 2026, חברת האבטחה Tego AI חשפה פגיעות אבטחה ב-Claude Code של Anthropic, המאפשרת למאגר קוד זדוני להבריח בשקט קבצים ממחשב המפתח. ההתקפה מנצלת חוסר התאמה במקור (provenance mismatch) באופן שבו Claude Code מטפל בקישורים סימליים (symbolic links) בקובץ ההוראות CLAUDE.md. כאשר מפתח משכפל (clone) מאגר ומפעיל את Claude Code, קישור סימלי בתוך המאגר יכול לגרום לכלי לקרוא קבצים מחוץ לפרויקט ולכלול את תוכנם בבקשה הראשונה שנשלחת למודל - ללא אזהרה, ללא תיבת דו-שיח לאישור, וללא קריאת כלי גלויה לעין .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "פרצת ה-Symlink של Claude Code: איך קובץ CLAUDE.md יכול לגנוב את הנתונים שלך בשקט"?
ב 24 ביולי 2026, Tego AI חשפה פגיעות ב Claude Code של Anthropic: קובץ CLAUDE.md המכיל הפניית @import לקישור סימלי בתוך המאגר יכול לקרוא בשקט קבצים מחוץ לפרויקט ולהעביר את תוכנם למודל בבקשה הראשונה, ללא אזהרה או אישור...
What are the key points to validate first?
ב 24 ביולי 2026, Tego AI חשפה פגיעות ב Claude Code של Anthropic: קובץ CLAUDE.md המכיל הפניית @import לקישור סימלי בתוך המאגר יכול לקרוא בשקט קבצים מחוץ לפרויקט ולהעביר את תוכנם למודל בבקשה הראשונה, ללא אזהרה או אישור... ההתקפה מנצלת 'חוסר התאמה במקור' (provenance mismatch): Claude Code בודק את הנתיב המילולי של הקובץ (שנמצא בתוך הפרויקט), אך בעת הקריאה הוא עוקב אחרי הקישור הסימלי לקובץ מחוץ לפרויקט, ובכך עוקף את מנגנון האישור לייבוא ח...
What should I do next in practice?
Anthropic סגרה את הדיווח בתור 'אינפורמטיבי' (Informative), בטענה שתיבת הדו שיח 'אמון בתיקייה' (trust this folder) מהווה את גבול האבטחה, אך Tego AI טוענת שהנתונים יוצאים מהמכונה באופן אוטומטי וללא מודעות המשתמש [3][17].
פרצת ה-Symlink של Claude Code: איך קובץ CLAUDE.md יכול לגנוב את הנתונים שלך בשקט
ב 24 ביולי 2026, Tego AI חשפה פגיעות ב Claude Code של Anthropic: קובץ CLAUDE.md המכיל הפניית @import לקישור סימלי בתוך המאגר יכול לקרוא בשקט קבצים מחוץ לפרויקט ולהעביר את תוכנם למודל בבקשה הראשונה, ללא אזהרה או אישור... ההתקפה מנצלת 'חוסר התאמה במקור' (provenance mismatch): Claude Code בודק את הנתיב המילולי של הקובץ...
פורסם על ידינערך באמצעות DeepSeek-V4-Flashהתמונות נוצרו באמצעות GPT Image 1.5
ב 24 ביולי 2026, Tego AI חשפה פגיעות ב Claude Code של Anthropic: קובץ CLAUDE.md המכיל הפניית @import לקישור סימלי בתוך המאגר יכול לקרוא בשקט קבצים מחוץ לפרויקט ולהעביר את תוכנם למודל בבקשה הראשונה, ללא אזהרה או אישור...
ההתקפה מנצלת 'חוסר התאמה במקור' (provenance mismatch): Claude Code בודק את הנתיב המילולי של הקובץ (שנמצא בתוך הפרויקט), אך בעת הקריאה הוא עוקב אחרי הקישור הסימלי לקובץ מחוץ לפרויקט, ובכך עוקף את מנגנון האישור לייבוא ח...
Anthropic סגרה את הדיווח בתור 'אינפורמטיבי' (Informative), בטענה שתיבת הדו שיח 'אמון בתיקייה' (trust this folder) מהווה את גבול האבטחה, אך Tego AI טוענת שהנתונים יוצאים מהמכונה באופן אוטומטי וללא מודעות המשתמש [3][17].
דפוס הבעיה זהה לשתי פגיעויות קודמות שתוקנו ב Claude Code (CVE 2025 59829, CVE 2026 25724), אך התיקון מעולם לא יושם בנתיב טעינת הזיכרון [15].
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
ב-24 ביולי 2026, חברת האבטחה Tego AI חשפה פגיעות אבטחה ב-Claude Code של Anthropic, המאפשרת למאגר קוד זדוני להבריח בשקט קבצים ממחשב המפתח. ההתקפה מנצלת חוסר התאמה במקור (provenance mismatch) באופן שבו Claude Code מטפל בקישורים סימליים (symbolic links) בקובץ ההוראות CLAUDE.md. כאשר מפתח משכפל (clone) מאגר ומפעיל את Claude Code, קישור סימלי בתוך המאגר יכול לגרום לכלי לקרוא קבצים מחוץ לפרויקט ולכלול את תוכנם בבקשה הראשונה שנשלחת למודל - ללא אזהרה, ללא תיבת דו-שיח לאישור, וללא קריאת כלי גלויה לעין .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "פרצת ה-Symlink של Claude Code: איך קובץ CLAUDE.md יכול לגנוב את הנתונים שלך בשקט"?
ב 24 ביולי 2026, Tego AI חשפה פגיעות ב Claude Code של Anthropic: קובץ CLAUDE.md המכיל הפניית @import לקישור סימלי בתוך המאגר יכול לקרוא בשקט קבצים מחוץ לפרויקט ולהעביר את תוכנם למודל בבקשה הראשונה, ללא אזהרה או אישור...
What are the key points to validate first?
ב 24 ביולי 2026, Tego AI חשפה פגיעות ב Claude Code של Anthropic: קובץ CLAUDE.md המכיל הפניית @import לקישור סימלי בתוך המאגר יכול לקרוא בשקט קבצים מחוץ לפרויקט ולהעביר את תוכנם למודל בבקשה הראשונה, ללא אזהרה או אישור... ההתקפה מנצלת 'חוסר התאמה במקור' (provenance mismatch): Claude Code בודק את הנתיב המילולי של הקובץ (שנמצא בתוך הפרויקט), אך בעת הקריאה הוא עוקב אחרי הקישור הסימלי לקובץ מחוץ לפרויקט, ובכך עוקף את מנגנון האישור לייבוא ח...
What should I do next in practice?
Anthropic סגרה את הדיווח בתור 'אינפורמטיבי' (Informative), בטענה שתיבת הדו שיח 'אמון בתיקייה' (trust this folder) מהווה את גבול האבטחה, אך Tego AI טוענת שהנתונים יוצאים מהמכונה באופן אוטומטי וללא מודעות המשתמש [3][17].
הפגיעות מבוססת על השגחה פשוטה אך קריטית בטעינת הזיכרון של Claude Code:
מאגר זדוני מכיל קובץ CLAUDE.md רגיל למראה עם הוראת @import המצביעה על קובץ בתוך המאגר - לדוגמה, @./link.
הקובץ הוא קישור סימלי המאוחסן ב-Git (mode 120000 ב-Git) המצביע על יעד מחוץ למאגר, כגון /etc/passwd או ../../../../home/user/.ssh/id_rsa. Git שומר על קישורים סימליים בעת שכפול .
כאשר מפתח משכפל את המאגר ומפעיל את Claude Code, טוען הזיכרון קורא את CLAUDE.md ונתקל בייבוא @./link. הוא בודק האם הנתיב המילולי (./link) נמצא בתוך הפרויקט - הוא אכן כן - ולכן הייבוא מסווג כ"פנימי" ותיבת הדו-שיח לאישור ייבוא חיצוני אינה מופיעה .
הטוען עוקב אחרי הקישור הסימלי אל היעד האמיתי מחוץ לפרויקט, קורא את תוכנו, ומכניס אותו לחלון ההקשר הראשוני של המודל .
התוכן עוזב את המכונה בבקשה היוצאת הראשונה ל-API של Anthropic - לפני שהמודל נקט כל פעולה וללא כל קריאת כלי גלויה. המשתמש אינו רואה כל אזהרה .
באופן אופציונלי, הגדרה מוכרת בנפרד בשם ANTHROPIC_BASE_URL במאגר יכולה להפנות את הקצה היוצא לשרת שהתוקף שולט בו, ובכך להשלים את ההברחה .
הממצא החדשני אינו ש-Claude Code עוקב אחרי קישורים סימליים - זה מתועד וכוונתי. הממצא החדשני הוא עקיפת ההסכמה: בדיקת הייבוא החיצוני מתבצעת מול הנתיב הלא-מפוענח, הקריאה מתבצעת על הנתיב המפוענח, וטוען הזיכרון מעולם לא קיבל את תיקון רזולוציית הקישורים הסימליים שיושם במערכת ההרשאות של Claude Code בשתי CVE קודמות .
תגובת Anthropic
Tego AI דיווחה על הבעיה דרך פלטפורמת HackerOne ביולי 2026. Anthropic סגרה את הדיווח בתור "Informative" (אינפורמטיבי) - משמעות הדבר שהיא לא התייחסה אליו כאל פגיעות אבטחה תחת מודל האיומים הנוכחי שלה .
הנימוק של Anthropic: תחת מודל האיומים של Claude Code, תיבת הדו-שיח "אמון בתיקייה זו" (trust this folder) מהווה את גבול האבטחה. קבלת תיבת דו-שיח זו כבר מעניקה לפרויקט גישת קריאה, עריכה וביצוע נרחבת. Tego AI אינה חולקת על כך ש-Anthropic מיישמת מודל זה באופן עקבי, אך טוענת שהממצא עדיין חשוב משום שהנתונים עוזבים את המכונה באופן אוטומטי, שקט ומחוץ למודעות המשתמש .
ראוי לציין כי אותו דפוס כשל של קישור סימלי מול בדיקת אבטחה תוקן פעמיים בעבר במערכת ההרשאות של Claude Code:
CVE-2025-59829 (תוקן בספטמבר 2025): עקיפת כללי דחייה בקובץ באמצעות קישור סימלי
CVE-2026-25724 (תוקן בינואר 2026): אותו דפוס שוב, עקיפת כללי דחייה באמצעות קישורים סימליים
שני התיקונים הקודמים פתרו את בעיית הקישור הסימלי לפני בדיקת ההרשאות - אבל תיקון זה מעולם לא יושם עבור נתיב הקוד של טוען הזיכרון .
דפוס רחב יותר: מערכת האקולוגית של Claude ואבטחת כלי קידוד AI
החשיפה של Tego AI היא הפגיעות השנייה במערכת האקולוגית של Claude תוך שבוע. ב-14 ביולי 2026, Tego חשפה כי אינטגרציית Slack של Claude Tag יכולה להיות מופעלת על ידי טקסט @Claude פשוט בכל הודעה, מה שעלול לאפשר פעולות ארגוניות לא מורשות .
מעבר לעבודתה של Tego, ל-Claude Code הצטברו לפחות 28 CVE בשנה בערך לקיומו, כולל:
שתי בריחות ארגז חול קריטיות בדירוג CVSS 10.0: CVE-2026-39861 (בריחת ארגז חול באמצעות קישור סימלי) ו-CVE-2026-25725 (עקיפת ארגז חול באמצעות settings.json)
CVE-2026-46406 (יוני 2026): פקודת /copy כתבה תשובות לנתיב זמני קבוע בקריאה עולמית /tmp/claude/response.md, מה שאיפשר לכל משתמש מקומי לקרוא סודות
מחקר של Check Point (פברואר 2026): פגיעויות קריטיות (CVE-2025-59536, CVE-2026-21852) המאפשרות ביצוע קוד מרחוק וגניבת מפתחות API באמצעות קבצי תצורה זדוניים ברמת המאגר
מחקר חוצה תעשייה מראה שזה לא ייחודי ל-Anthropic:
GhostApproval (Wiz, יולי 2026): פגיעויות קישור סימלי בשש עוזרות קידוד AI (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) אפשרו למאגר מלכודת לגרום לכלי לכתוב לקובץ רגיש בזמן שהמשתמש מאשר כתיבה לקובץ תמים
SymJack (Adversa AI, מאי 2026): התקפת חטיפת קישור סימלי בודדת שהשיגה ביצוע קוד מרחוק על פני שישה מוצרים (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). המשתמש מאשר העתקת קובץ; הליבה כותבת למקום אחר
TrustFall (Adversa AI, מאי 2026): שרתי MCP המוגדרים במאגר מתבצעים אוטומטית ברגע שהמשתמש מקבל את בקשת האמון בתיקייה
המתח הארכיטקטוני הבסיסי עקבי בכל התעשייה: סוכני קידוד AI זקוקים לגישה נרחבת למערכת הקבצים, למעטפת ולרשת כדי להיות שימושיים - אבל אותה גישה מוגברת היא בדיוק ההרשאה שתוקף צריך. כל בריחת ארגז חול, עקיפת נתיב, ועקיפת תיבת דו-שיח אמון נובעת מאותו אתגר . משטח ההתקפה לא מתכווץ; תכונות חדשות מוסיפות וקטורים חדשים מהר יותר ממה שהקיימים מתוקנים.
הפגיעות מבוססת על השגחה פשוטה אך קריטית בטעינת הזיכרון של Claude Code:
מאגר זדוני מכיל קובץ CLAUDE.md רגיל למראה עם הוראת @import המצביעה על קובץ בתוך המאגר - לדוגמה, @./link.
הקובץ הוא קישור סימלי המאוחסן ב-Git (mode 120000 ב-Git) המצביע על יעד מחוץ למאגר, כגון /etc/passwd או ../../../../home/user/.ssh/id_rsa. Git שומר על קישורים סימליים בעת שכפול .
כאשר מפתח משכפל את המאגר ומפעיל את Claude Code, טוען הזיכרון קורא את CLAUDE.md ונתקל בייבוא @./link. הוא בודק האם הנתיב המילולי (./link) נמצא בתוך הפרויקט - הוא אכן כן - ולכן הייבוא מסווג כ"פנימי" ותיבת הדו-שיח לאישור ייבוא חיצוני אינה מופיעה .
הטוען עוקב אחרי הקישור הסימלי אל היעד האמיתי מחוץ לפרויקט, קורא את תוכנו, ומכניס אותו לחלון ההקשר הראשוני של המודל .
התוכן עוזב את המכונה בבקשה היוצאת הראשונה ל-API של Anthropic - לפני שהמודל נקט כל פעולה וללא כל קריאת כלי גלויה. המשתמש אינו רואה כל אזהרה .
באופן אופציונלי, הגדרה מוכרת בנפרד בשם ANTHROPIC_BASE_URL במאגר יכולה להפנות את הקצה היוצא לשרת שהתוקף שולט בו, ובכך להשלים את ההברחה .
הממצא החדשני אינו ש-Claude Code עוקב אחרי קישורים סימליים - זה מתועד וכוונתי. הממצא החדשני הוא עקיפת ההסכמה: בדיקת הייבוא החיצוני מתבצעת מול הנתיב הלא-מפוענח, הקריאה מתבצעת על הנתיב המפוענח, וטוען הזיכרון מעולם לא קיבל את תיקון רזולוציית הקישורים הסימליים שיושם במערכת ההרשאות של Claude Code בשתי CVE קודמות .
תגובת Anthropic
Tego AI דיווחה על הבעיה דרך פלטפורמת HackerOne ביולי 2026. Anthropic סגרה את הדיווח בתור "Informative" (אינפורמטיבי) - משמעות הדבר שהיא לא התייחסה אליו כאל פגיעות אבטחה תחת מודל האיומים הנוכחי שלה .
הנימוק של Anthropic: תחת מודל האיומים של Claude Code, תיבת הדו-שיח "אמון בתיקייה זו" (trust this folder) מהווה את גבול האבטחה. קבלת תיבת דו-שיח זו כבר מעניקה לפרויקט גישת קריאה, עריכה וביצוע נרחבת. Tego AI אינה חולקת על כך ש-Anthropic מיישמת מודל זה באופן עקבי, אך טוענת שהממצא עדיין חשוב משום שהנתונים עוזבים את המכונה באופן אוטומטי, שקט ומחוץ למודעות המשתמש .
ראוי לציין כי אותו דפוס כשל של קישור סימלי מול בדיקת אבטחה תוקן פעמיים בעבר במערכת ההרשאות של Claude Code:
CVE-2025-59829 (תוקן בספטמבר 2025): עקיפת כללי דחייה בקובץ באמצעות קישור סימלי
CVE-2026-25724 (תוקן בינואר 2026): אותו דפוס שוב, עקיפת כללי דחייה באמצעות קישורים סימליים
שני התיקונים הקודמים פתרו את בעיית הקישור הסימלי לפני בדיקת ההרשאות - אבל תיקון זה מעולם לא יושם עבור נתיב הקוד של טוען הזיכרון .
דפוס רחב יותר: מערכת האקולוגית של Claude ואבטחת כלי קידוד AI
החשיפה של Tego AI היא הפגיעות השנייה במערכת האקולוגית של Claude תוך שבוע. ב-14 ביולי 2026, Tego חשפה כי אינטגרציית Slack של Claude Tag יכולה להיות מופעלת על ידי טקסט @Claude פשוט בכל הודעה, מה שעלול לאפשר פעולות ארגוניות לא מורשות .
מעבר לעבודתה של Tego, ל-Claude Code הצטברו לפחות 28 CVE בשנה בערך לקיומו, כולל:
שתי בריחות ארגז חול קריטיות בדירוג CVSS 10.0: CVE-2026-39861 (בריחת ארגז חול באמצעות קישור סימלי) ו-CVE-2026-25725 (עקיפת ארגז חול באמצעות settings.json)
CVE-2026-46406 (יוני 2026): פקודת /copy כתבה תשובות לנתיב זמני קבוע בקריאה עולמית /tmp/claude/response.md, מה שאיפשר לכל משתמש מקומי לקרוא סודות
מחקר של Check Point (פברואר 2026): פגיעויות קריטיות (CVE-2025-59536, CVE-2026-21852) המאפשרות ביצוע קוד מרחוק וגניבת מפתחות API באמצעות קבצי תצורה זדוניים ברמת המאגר
מחקר חוצה תעשייה מראה שזה לא ייחודי ל-Anthropic:
GhostApproval (Wiz, יולי 2026): פגיעויות קישור סימלי בשש עוזרות קידוד AI (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) אפשרו למאגר מלכודת לגרום לכלי לכתוב לקובץ רגיש בזמן שהמשתמש מאשר כתיבה לקובץ תמים
SymJack (Adversa AI, מאי 2026): התקפת חטיפת קישור סימלי בודדת שהשיגה ביצוע קוד מרחוק על פני שישה מוצרים (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). המשתמש מאשר העתקת קובץ; הליבה כותבת למקום אחר
TrustFall (Adversa AI, מאי 2026): שרתי MCP המוגדרים במאגר מתבצעים אוטומטית ברגע שהמשתמש מקבל את בקשת האמון בתיקייה
המתח הארכיטקטוני הבסיסי עקבי בכל התעשייה: סוכני קידוד AI זקוקים לגישה נרחבת למערכת הקבצים, למעטפת ולרשת כדי להיות שימושיים - אבל אותה גישה מוגברת היא בדיוק ההרשאה שתוקף צריך. כל בריחת ארגז חול, עקיפת נתיב, ועקיפת תיבת דו-שיח אמון נובעת מאותו אתגר . משטח ההתקפה לא מתכווץ; תכונות חדשות מוסיפות וקטורים חדשים מהר יותר ממה שהקיימים מתוקנים.
