Bagaimana Serangan Bekerja

Kerentanan ini terletak pada pengawasan sederhana namun kritis di pemuat memori Claude Code:

1. Repositori berbahaya berisi file CLAUDE.md yang tampak normal dengan direktif @import yang menunjuk ke file dalam repositori — misalnya, @./link .
2. File itu adalah tautan simbolis yang disimpan di Git (mode 120000 di Git) yang menunjuk ke target di luar repositori, seperti /etc/passwd atau ../../../../home/user/.ssh/id_rsa. Git mempertahankan symlink saat dikloning .
3. Ketika pengembang mengkloning repo dan meluncurkan Claude Code, pemuat memori membaca CLAUDE.md dan menemukan impor @./link. Ia memeriksa apakah path leksikal (./link) berada di dalam proyek — ternyata ya — sehingga impor diklasifikasikan sebagai "internal" dan tidak ada dialog persetujuan impor eksternal yang muncul .
4. Pemuat kemudian mengikuti symlink ke file target aktual di luar proyek, membaca isinya, dan menempatkannya ke dalam konteks awal model .
5. Konten tersebut meninggalkan mesin pada permintaan keluar pertama ke API Anthropic — sebelum model mengambil tindakan apa pun dan tanpa panggilan alat yang terlihat. Pengguna tidak melihat peringatan apa pun .
6. Secara opsional, pengaturan ANTHROPIC_BASE_URL yang terpisah dan sudah diketahui di repositori dapat mengarahkan ulang titik akhir keluar ke server yang dikendalikan penyerang, menyelesaikan eksfiltrasi .

Temuan baru bukan bahwa Claude Code mengikuti symlink — itu sudah didokumentasikan dan disengaja. Temuan barunya adalah pengabaian persetujuan: pemeriksaan impor eksternal berjalan terhadap path yang belum di-resolve, pembacaan beroperasi pada path yang sudah di-resolve, dan pemuat memori tidak pernah menerima perbaikan resolusi symlink yang telah diterapkan pada subsistem izin Claude Code dalam dua CVE sebelumnya .

Tanggapan Anthropic

Tego AI melaporkan masalah ini melalui HackerOne pada Juli 2026. Anthropic menutup laporan sebagai "Informatif" — artinya mereka tidak menganggapnya sebagai kerentanan keamanan berdasarkan model ancaman mereka saat ini .

Alasan Anthropic: di bawah model ancaman Claude Code, dialog "trust this folder" adalah batas keamanan. Menerima dialog itu sudah memberikan izin baca, edit, dan eksekusi yang luas kepada proyek. Tego AI tidak membantah bahwa Anthropic secara konsisten menerapkan model ini, tetapi berpendapat temuan ini tetap penting karena data meninggalkan mesin secara otomatis, diam-diam, dan di luar kesadaran pengguna .

Yang perlu dicatat, pola kegagalan symlink vs. pemeriksaan keamanan yang sama telah diperbaiki dua kali sebelumnya di subsistem izin Claude Code:

• CVE-2025-59829 (diperbaiki September 2025): symlink melewati aturan tolak di izin file
• CVE-2026-25724 (diperbaiki Januari 2026): pola yang sama lagi, aturan tolak dilewati melalui symlink

Kedua perbaikan sebelumnya menyelesaikan symlink sebelum memeriksa izin — tetapi perbaikan itu tidak pernah diterapkan ke jalur kode pemuat memori .

Pola yang Lebih Luas: Ekosistem Claude dan Keamanan Alat Coding AI

Pengungkapan Tego AI adalah celah ekosistem Claude kedua dalam seminggu. Pada 14 Juli 2026, Tego mengungkapkan bahwa integrasi Slack Claude Tag dapat dipicu oleh teks @Claude biasa di pesan apa pun, yang berpotensi memungkinkan tindakan perusahaan yang tidak sah .

Di luar karya Tego, Claude Code telah mengumpulkan setidaknya 28 CVE dalam waktu sekitar satu tahun keberadaannya, termasuk:

• Dua pelarian sandbox kritis CVSS 10.0: CVE-2026-39861 (pelarian sandbox symlink) dan CVE-2026-25725 (pemotongan sandbox settings.json)
• CVE-2026-46406 (Juni 2026): perintah /copy menulis respons ke jalur temp yang dapat dibaca semua orang /tmp/claude/response.md, memungkinkan pengguna lokal mana pun membaca rahasia
• Penelitian Check Point (Februari 2026): celah kritis (CVE-2025-59536, CVE-2026-21852) memungkinkan RCE dan pencurian kunci API melalui file konfigurasi tingkat repositori berbahaya

Penelitian lintas industri menunjukkan ini tidak unik pada Anthropic:

• GhostApproval (Wiz, Juli 2026): Celah symlink di enam asisten coding AI (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) memungkinkan repositori yang dipasangi jebakan membuat alat menulis ke file sensitif sementara pengguna menyetujui menulis ke file yang tidak berbahaya
• SymJack (Adversa AI, Mei 2026): Serangan pembajakan symlink tunggal yang mencapai RCE di enam produk (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Pengguna menyetujui salinan file; kernel menulis di tempat lain
• TrustFall (Adversa AI, Mei 2026): Server MCP yang ditentukan repositori dieksekusi secara otomatis begitu pengguna menerima prompt kepercayaan folder

Ketegangan arsitektural yang mendasarinya konsisten di seluruh industri: agen coding AI membutuhkan akses luas ke sistem file, shell, dan jaringan agar berguna — tetapi akses yang ditinggikan itu adalah hak istimewa yang sama yang dibutuhkan penyerang. Setiap pelarian sandbox, traversal jalur, dan pemotongan dialog kepercayaan berasal dari tantangan yang sama ini . Permukaan serangan tidak menyusut; fitur baru menambahkan vektor baru lebih cepat daripada vektor yang sudah ada diperbaiki.

Bagaimana Serangan Bekerja

Kerentanan ini terletak pada pengawasan sederhana namun kritis di pemuat memori Claude Code:

1. Repositori berbahaya berisi file CLAUDE.md yang tampak normal dengan direktif @import yang menunjuk ke file dalam repositori — misalnya, @./link .
2. File itu adalah tautan simbolis yang disimpan di Git (mode 120000 di Git) yang menunjuk ke target di luar repositori, seperti /etc/passwd atau ../../../../home/user/.ssh/id_rsa. Git mempertahankan symlink saat dikloning .
3. Ketika pengembang mengkloning repo dan meluncurkan Claude Code, pemuat memori membaca CLAUDE.md dan menemukan impor @./link. Ia memeriksa apakah path leksikal (./link) berada di dalam proyek — ternyata ya — sehingga impor diklasifikasikan sebagai "internal" dan tidak ada dialog persetujuan impor eksternal yang muncul .
4. Pemuat kemudian mengikuti symlink ke file target aktual di luar proyek, membaca isinya, dan menempatkannya ke dalam konteks awal model .
5. Konten tersebut meninggalkan mesin pada permintaan keluar pertama ke API Anthropic — sebelum model mengambil tindakan apa pun dan tanpa panggilan alat yang terlihat. Pengguna tidak melihat peringatan apa pun .
6. Secara opsional, pengaturan ANTHROPIC_BASE_URL yang terpisah dan sudah diketahui di repositori dapat mengarahkan ulang titik akhir keluar ke server yang dikendalikan penyerang, menyelesaikan eksfiltrasi .

Temuan baru bukan bahwa Claude Code mengikuti symlink — itu sudah didokumentasikan dan disengaja. Temuan barunya adalah pengabaian persetujuan: pemeriksaan impor eksternal berjalan terhadap path yang belum di-resolve, pembacaan beroperasi pada path yang sudah di-resolve, dan pemuat memori tidak pernah menerima perbaikan resolusi symlink yang telah diterapkan pada subsistem izin Claude Code dalam dua CVE sebelumnya .

Tanggapan Anthropic

Tego AI melaporkan masalah ini melalui HackerOne pada Juli 2026. Anthropic menutup laporan sebagai "Informatif" — artinya mereka tidak menganggapnya sebagai kerentanan keamanan berdasarkan model ancaman mereka saat ini .

Alasan Anthropic: di bawah model ancaman Claude Code, dialog "trust this folder" adalah batas keamanan. Menerima dialog itu sudah memberikan izin baca, edit, dan eksekusi yang luas kepada proyek. Tego AI tidak membantah bahwa Anthropic secara konsisten menerapkan model ini, tetapi berpendapat temuan ini tetap penting karena data meninggalkan mesin secara otomatis, diam-diam, dan di luar kesadaran pengguna .

Yang perlu dicatat, pola kegagalan symlink vs. pemeriksaan keamanan yang sama telah diperbaiki dua kali sebelumnya di subsistem izin Claude Code:

• CVE-2025-59829 (diperbaiki September 2025): symlink melewati aturan tolak di izin file
• CVE-2026-25724 (diperbaiki Januari 2026): pola yang sama lagi, aturan tolak dilewati melalui symlink

Kedua perbaikan sebelumnya menyelesaikan symlink sebelum memeriksa izin — tetapi perbaikan itu tidak pernah diterapkan ke jalur kode pemuat memori .

Pola yang Lebih Luas: Ekosistem Claude dan Keamanan Alat Coding AI

Pengungkapan Tego AI adalah celah ekosistem Claude kedua dalam seminggu. Pada 14 Juli 2026, Tego mengungkapkan bahwa integrasi Slack Claude Tag dapat dipicu oleh teks @Claude biasa di pesan apa pun, yang berpotensi memungkinkan tindakan perusahaan yang tidak sah .

Di luar karya Tego, Claude Code telah mengumpulkan setidaknya 28 CVE dalam waktu sekitar satu tahun keberadaannya, termasuk:

• Dua pelarian sandbox kritis CVSS 10.0: CVE-2026-39861 (pelarian sandbox symlink) dan CVE-2026-25725 (pemotongan sandbox settings.json)
• CVE-2026-46406 (Juni 2026): perintah /copy menulis respons ke jalur temp yang dapat dibaca semua orang /tmp/claude/response.md, memungkinkan pengguna lokal mana pun membaca rahasia
• Penelitian Check Point (Februari 2026): celah kritis (CVE-2025-59536, CVE-2026-21852) memungkinkan RCE dan pencurian kunci API melalui file konfigurasi tingkat repositori berbahaya

Penelitian lintas industri menunjukkan ini tidak unik pada Anthropic:

• GhostApproval (Wiz, Juli 2026): Celah symlink di enam asisten coding AI (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) memungkinkan repositori yang dipasangi jebakan membuat alat menulis ke file sensitif sementara pengguna menyetujui menulis ke file yang tidak berbahaya
• SymJack (Adversa AI, Mei 2026): Serangan pembajakan symlink tunggal yang mencapai RCE di enam produk (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Pengguna menyetujui salinan file; kernel menulis di tempat lain
• TrustFall (Adversa AI, Mei 2026): Server MCP yang ditentukan repositori dieksekusi secara otomatis begitu pengguna menerima prompt kepercayaan folder

Ketegangan arsitektural yang mendasarinya konsisten di seluruh industri: agen coding AI membutuhkan akses luas ke sistem file, shell, dan jaringan agar berguna — tetapi akses yang ditinggikan itu adalah hak istimewa yang sama yang dibutuhkan penyerang. Setiap pelarian sandbox, traversal jalur, dan pemotongan dialog kepercayaan berasal dari tantangan yang sama ini . Permukaan serangan tidak menyusut; fitur baru menambahkan vektor baru lebih cepat daripada vektor yang sudah ada diperbaiki.