פרצת ה-Symlink של Claude Code: איך קובץ CLAUDE.md יכול לגנוב את הנתונים שלך בשקט

כיצד ההתקפה פועלת

הפגיעות מבוססת על השגחה פשוטה אך קריטית בטעינת הזיכרון של Claude Code:

1. מאגר זדוני מכיל קובץ CLAUDE.md רגיל למראה עם הוראת @import המצביעה על קובץ בתוך המאגר - לדוגמה, @./link .
2. הקובץ הוא קישור סימלי המאוחסן ב-Git (mode 120000 ב-Git) המצביע על יעד מחוץ למאגר, כגון /etc/passwd או ../../../../home/user/.ssh/id_rsa. Git שומר על קישורים סימליים בעת שכפול .
3. כאשר מפתח משכפל את המאגר ומפעיל את Claude Code, טוען הזיכרון קורא את CLAUDE.md ונתקל בייבוא @./link. הוא בודק האם הנתיב המילולי (./link) נמצא בתוך הפרויקט - הוא אכן כן - ולכן הייבוא מסווג כ"פנימי" ותיבת הדו-שיח לאישור ייבוא חיצוני אינה מופיעה .
4. הטוען עוקב אחרי הקישור הסימלי אל היעד האמיתי מחוץ לפרויקט, קורא את תוכנו, ומכניס אותו לחלון ההקשר הראשוני של המודל .
5. התוכן עוזב את המכונה בבקשה היוצאת הראשונה ל-API של Anthropic - לפני שהמודל נקט כל פעולה וללא כל קריאת כלי גלויה. המשתמש אינו רואה כל אזהרה .
6. באופן אופציונלי, הגדרה מוכרת בנפרד בשם ANTHROPIC_BASE_URL במאגר יכולה להפנות את הקצה היוצא לשרת שהתוקף שולט בו, ובכך להשלים את ההברחה .

הממצא החדשני אינו ש-Claude Code עוקב אחרי קישורים סימליים - זה מתועד וכוונתי. הממצא החדשני הוא עקיפת ההסכמה: בדיקת הייבוא החיצוני מתבצעת מול הנתיב הלא-מפוענח, הקריאה מתבצעת על הנתיב המפוענח, וטוען הזיכרון מעולם לא קיבל את תיקון רזולוציית הקישורים הסימליים שיושם במערכת ההרשאות של Claude Code בשתי CVE קודמות .

תגובת Anthropic

Tego AI דיווחה על הבעיה דרך פלטפורמת HackerOne ביולי 2026. Anthropic סגרה את הדיווח בתור "Informative" (אינפורמטיבי) - משמעות הדבר שהיא לא התייחסה אליו כאל פגיעות אבטחה תחת מודל האיומים הנוכחי שלה .

הנימוק של Anthropic: תחת מודל האיומים של Claude Code, תיבת הדו-שיח "אמון בתיקייה זו" (trust this folder) מהווה את גבול האבטחה. קבלת תיבת דו-שיח זו כבר מעניקה לפרויקט גישת קריאה, עריכה וביצוע נרחבת. Tego AI אינה חולקת על כך ש-Anthropic מיישמת מודל זה באופן עקבי, אך טוענת שהממצא עדיין חשוב משום שהנתונים עוזבים את המכונה באופן אוטומטי, שקט ומחוץ למודעות המשתמש .

ראוי לציין כי אותו דפוס כשל של קישור סימלי מול בדיקת אבטחה תוקן פעמיים בעבר במערכת ההרשאות של Claude Code:

• CVE-2025-59829 (תוקן בספטמבר 2025): עקיפת כללי דחייה בקובץ באמצעות קישור סימלי
• CVE-2026-25724 (תוקן בינואר 2026): אותו דפוס שוב, עקיפת כללי דחייה באמצעות קישורים סימליים

שני התיקונים הקודמים פתרו את בעיית הקישור הסימלי לפני בדיקת ההרשאות - אבל תיקון זה מעולם לא יושם עבור נתיב הקוד של טוען הזיכרון .

דפוס רחב יותר: מערכת האקולוגית של Claude ואבטחת כלי קידוד AI

החשיפה של Tego AI היא הפגיעות השנייה במערכת האקולוגית של Claude תוך שבוע. ב-14 ביולי 2026, Tego חשפה כי אינטגרציית Slack של Claude Tag יכולה להיות מופעלת על ידי טקסט @Claude פשוט בכל הודעה, מה שעלול לאפשר פעולות ארגוניות לא מורשות .

מעבר לעבודתה של Tego, ל-Claude Code הצטברו לפחות 28 CVE בשנה בערך לקיומו, כולל:

• שתי בריחות ארגז חול קריטיות בדירוג CVSS 10.0: CVE-2026-39861 (בריחת ארגז חול באמצעות קישור סימלי) ו-CVE-2026-25725 (עקיפת ארגז חול באמצעות settings.json)
• CVE-2026-46406 (יוני 2026): פקודת /copy כתבה תשובות לנתיב זמני קבוע בקריאה עולמית /tmp/claude/response.md, מה שאיפשר לכל משתמש מקומי לקרוא סודות
• מחקר של Check Point (פברואר 2026): פגיעויות קריטיות (CVE-2025-59536, CVE-2026-21852) המאפשרות ביצוע קוד מרחוק וגניבת מפתחות API באמצעות קבצי תצורה זדוניים ברמת המאגר

מחקר חוצה תעשייה מראה שזה לא ייחודי ל-Anthropic:

• GhostApproval (Wiz, יולי 2026): פגיעויות קישור סימלי בשש עוזרות קידוד AI (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) אפשרו למאגר מלכודת לגרום לכלי לכתוב לקובץ רגיש בזמן שהמשתמש מאשר כתיבה לקובץ תמים
• SymJack (Adversa AI, מאי 2026): התקפת חטיפת קישור סימלי בודדת שהשיגה ביצוע קוד מרחוק על פני שישה מוצרים (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). המשתמש מאשר העתקת קובץ; הליבה כותבת למקום אחר
• TrustFall (Adversa AI, מאי 2026): שרתי MCP המוגדרים במאגר מתבצעים אוטומטית ברגע שהמשתמש מקבל את בקשת האמון בתיקייה

המתח הארכיטקטוני הבסיסי עקבי בכל התעשייה: סוכני קידוד AI זקוקים לגישה נרחבת למערכת הקבצים, למעטפת ולרשת כדי להיות שימושיים - אבל אותה גישה מוגברת היא בדיוק ההרשאה שתוקף צריך. כל בריחת ארגז חול, עקיפת נתיב, ועקיפת תיבת דו-שיח אמון נובעת מאותו אתגר . משטח ההתקפה לא מתכווץ; תכונות חדשות מוסיפות וקטורים חדשים מהר יותר ממה שהקיימים מתוקנים.