פרצת ה-Symlink של Claude Code: איך קובץ CLAUDE.md יכול לגנוב את הנתונים שלך בשקט

ב-24 ביולי 2026, חברת האבטחה Tego AI חשפה פגיעות אבטחה ב-Claude Code של Anthropic, המאפשרת למאגר קוד זדוני להבריח בשקט קבצים ממחשב המפתח. ההתקפה מנצלת חוסר התאמה במקור (provenance mismatch) באופן שבו Claude Code מטפל בקישורים סימליים (symbolic links) בקובץ ההוראות CLAUDE.md. כאשר מפתח משכפל (clone) מאגר ומפעיל את Claude Code, קישור סימלי בתוך המאגר יכול לגרום לכלי לקרוא קבצים מחוץ לפרויקט ולכלול את תוכנם בבקשה הראשונה שנשלחת למודל - ללא אזהרה, ללא תיבת דו-שיח לאישור, וללא קריאת כלי גלויה לעין .

כיצד ההתקפה פועלת

הפגיעות מבוססת על השגחה פשוטה אך קריטית בטעינת הזיכרון של Claude Code:

1. מאגר זדוני מכיל קובץ CLAUDE.md רגיל למראה עם הוראת @import המצביעה על קובץ בתוך המאגר - לדוגמה, @./link .
2. הקובץ הוא קישור סימלי המאוחסן ב-Git (mode 120000 ב-Git) המצביע על יעד מחוץ למאגר, כגון /etc/passwd או ../../../../home/user/.ssh/id_rsa. Git שומר על קישורים סימליים בעת שכפול .
3. כאשר מפתח משכפל את המאגר ומפעיל את Claude Code, טוען הזיכרון קורא את CLAUDE.md ונתקל בייבוא @./link. הוא בודק האם הנתיב המילולי (./link) נמצא בתוך הפרויקט - הוא אכן כן - ולכן הייבוא מסווג כ"פנימי" ותיבת הדו-שיח לאישור ייבוא חיצוני אינה מופיעה .
4. הטוען עוקב אחרי הקישור הסימלי אל היעד האמיתי מחוץ לפרויקט, קורא את תוכנו, ומכניס אותו לחלון ההקשר הראשוני של המודל .
5. התוכן עוזב את המכונה בבקשה היוצאת הראשונה ל-API של Anthropic - לפני שהמודל נקט כל פעולה וללא כל קריאת כלי גלויה. המשתמש אינו רואה כל אזהרה .
6. באופן אופציונלי, הגדרה מוכרת בנפרד בשם ANTHROPIC_BASE_URL במאגר יכולה להפנות את הקצה היוצא לשרת שהתוקף שולט בו, ובכך להשלים את ההברחה .

הממצא החדשני אינו ש-Claude Code עוקב אחרי קישורים סימליים - זה מתועד וכוונתי. הממצא החדשני הוא עקיפת ההסכמה: בדיקת הייבוא החיצוני מתבצעת מול הנתיב הלא-מפוענח, הקריאה מתבצעת על הנתיב המפוענח, וטוען הזיכרון מעולם לא קיבל את תיקון רזולוציית הקישורים הסימליים שיושם במערכת ההרשאות של Claude Code בשתי CVE קודמות .

תגובת Anthropic

Tego AI דיווחה על הבעיה דרך פלטפורמת HackerOne ביולי 2026. Anthropic סגרה את הדיווח בתור "Informative" (אינפורמטיבי) - משמעות הדבר שהיא לא התייחסה אליו כאל פגיעות אבטחה תחת מודל האיומים הנוכחי שלה .

הנימוק של Anthropic: תחת מודל האיומים של Claude Code, תיבת הדו-שיח "אמון בתיקייה זו" (trust this folder) מהווה את גבול האבטחה. קבלת תיבת דו-שיח זו כבר מעניקה לפרויקט גישת קריאה, עריכה וביצוע נרחבת. Tego AI אינה חולקת על כך ש-Anthropic מיישמת מודל זה באופן עקבי, אך טוענת שהממצא עדיין חשוב משום שהנתונים עוזבים את המכונה באופן אוטומטי, שקט ומחוץ למודעות המשתמש .

ראוי לציין כי אותו דפוס כשל של קישור סימלי מול בדיקת אבטחה תוקן פעמיים בעבר במערכת ההרשאות של Claude Code:

• CVE-2025-59829 (תוקן בספטמבר 2025): עקיפת כללי דחייה בקובץ באמצעות קישור סימלי
• CVE-2026-25724 (תוקן בינואר 2026): אותו דפוס שוב, עקיפת כללי דחייה באמצעות קישורים סימליים

שני התיקונים הקודמים פתרו את בעיית הקישור הסימלי לפני בדיקת ההרשאות - אבל תיקון זה מעולם לא יושם עבור נתיב הקוד של טוען הזיכרון .

דפוס רחב יותר: מערכת האקולוגית של Claude ואבטחת כלי קידוד AI

החשיפה של Tego AI היא הפגיעות השנייה במערכת האקולוגית של Claude תוך שבוע. ב-14 ביולי 2026, Tego חשפה כי אינטגרציית Slack של Claude Tag יכולה להיות מופעלת על ידי טקסט @Claude פשוט בכל הודעה, מה שעלול לאפשר פעולות ארגוניות לא מורשות .

מעבר לעבודתה של Tego, ל-Claude Code הצטברו לפחות 28 CVE בשנה בערך לקיומו, כולל:

• שתי בריחות ארגז חול קריטיות בדירוג CVSS 10.0: CVE-2026-39861 (בריחת ארגז חול באמצעות קישור סימלי) ו-CVE-2026-25725 (עקיפת ארגז חול באמצעות settings.json)
• CVE-2026-46406 (יוני 2026): פקודת /copy כתבה תשובות לנתיב זמני קבוע בקריאה עולמית /tmp/claude/response.md, מה שאיפשר לכל משתמש מקומי לקרוא סודות
• מחקר של Check Point (פברואר 2026): פגיעויות קריטיות (CVE-2025-59536, CVE-2026-21852) המאפשרות ביצוע קוד מרחוק וגניבת מפתחות API באמצעות קבצי תצורה זדוניים ברמת המאגר

מחקר חוצה תעשייה מראה שזה לא ייחודי ל-Anthropic:

• GhostApproval (Wiz, יולי 2026): פגיעויות קישור סימלי בשש עוזרות קידוד AI (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) אפשרו למאגר מלכודת לגרום לכלי לכתוב לקובץ רגיש בזמן שהמשתמש מאשר כתיבה לקובץ תמים
• SymJack (Adversa AI, מאי 2026): התקפת חטיפת קישור סימלי בודדת שהשיגה ביצוע קוד מרחוק על פני שישה מוצרים (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). המשתמש מאשר העתקת קובץ; הליבה כותבת למקום אחר
• TrustFall (Adversa AI, מאי 2026): שרתי MCP המוגדרים במאגר מתבצעים אוטומטית ברגע שהמשתמש מקבל את בקשת האמון בתיקייה

המתח הארכיטקטוני הבסיסי עקבי בכל התעשייה: סוכני קידוד AI זקוקים לגישה נרחבת למערכת הקבצים, למעטפת ולרשת כדי להיות שימושיים - אבל אותה גישה מוגברת היא בדיוק ההרשאה שתוקף צריך. כל בריחת ארגז חול, עקיפת נתיב, ועקיפת תיבת דו-שיח אמון נובעת מאותו אתגר . משטח ההתקפה לא מתכווץ; תכונות חדשות מוסיפות וקטורים חדשים מהר יותר ממה שהקיימים מתוקנים.