Attacco tramite symlink a Claude Code: i file CLAUDE.md possono esfiltrare dati in silenzio

Come funziona l'attacco

La vulnerabilità si basa su una svista semplice ma critica nel caricatore di memoria di Claude Code:

1. Un repository malevolo contiene un file CLAUDE.md dall'aspetto normale con una direttiva @import che punta a un file all'interno del repo, ad esempio @./link .
2. Quel file è un collegamento simbolico archiviato in Git (modalità 120000 in Git) che punta a una destinazione al di fuori del repository, come /etc/passwd o ../../../../home/utente/.ssh/id_rsa. Git preserva i symlink durante la clonazione .
3. Quando uno sviluppatore clona il repo e avvia Claude Code, il caricatore di memoria legge CLAUDE.md e incontra l'import @./link. Verifica che il percorso lessicale (./link) sia all'interno del progetto — lo è — quindi l'import viene classificato come "interno" e non viene mostrata alcuna finestra di approvazione per import esterni .
4. Il caricatore segue poi il symlink fino al file di destinazione effettivo al di fuori del progetto, ne legge il contenuto e lo inserisce nella finestra di contesto iniziale del modello .
5. Il contenuto lascia la macchina nella prima richiesta in uscita verso l'API di Anthropic, prima che il modello abbia compiuto qualsiasi azione e senza alcuna chiamata strumento visibile. L'utente non vede alcun avviso .
6. Opzionalmente, un'impostazione ANTHROPIC_BASE_URL nota e presente nel repo può reindirizzare l'endpoint verso un server controllato dall'attaccante, completando l'esfiltrazione .

La scoperta non è che Claude Code segua i symlink — questo è documentato e intenzionale. La scoperta è il bypass del consenso: il controllo per gli import esterni viene eseguito sul percorso non risolto, la lettura opera sul percorso risolto e il caricatore di memoria non ha mai ricevuto la correzione di risoluzione dei symlink che era stata applicata al sottosistema dei permessi di Claude Code in due precedenti CVE .

La risposta di Anthropic

Tego AI ha segnalato il problema tramite HackerOne a luglio 2026. Anthropic ha chiuso la segnalazione come "Informativa", non trattandola come una vulnerabilità di sicurezza secondo il suo attuale modello di minaccia .

La motivazione di Anthropic: nel modello di minaccia di Claude Code, la finestra di dialogo "fidati di questa cartella" rappresenta il confine di sicurezza. Accettare quella finestra concede già al progetto ampi permessi di lettura, modifica ed esecuzione. Tego AI non contesta che Anthropic applichi coerentemente questo modello, ma sostiene che la scoperta sia comunque rilevante perché i dati lasciano la macchina automaticamente, silenziosamente e al di fuori della consapevolezza dell'utente .

È importante notare che lo stesso schema di falla tra symlink e controllo di sicurezza era stato corretto due volte in precedenza nel sottosistema dei permessi di Claude Code:

• CVE-2025-59829 (corretto a settembre 2025): bypass delle regole di negazione tramite symlink nei permessi dei file
• CVE-2026-25724 (corretto a gennaio 2026): stesso schema, bypass delle regole di negazione tramite symlink

Entrambe le correzioni precedenti risolvevano il symlink prima di controllare i permessi, ma tale correzione non è mai stata applicata al percorso del caricatore di memoria .

Quadro più ampio: l'ecosistema Claude e la sicurezza degli strumenti di coding AI

La divulgazione di Tego AI è la seconda falla nell'ecosistema Claude in una settimana. Il 14 luglio 2026, Tego aveva rivelato che l'integrazione Slack di Claude Tag poteva essere attivata dal semplice testo @Claude in qualsiasi messaggio, consentendo potenzialmente azioni aziendali non autorizzate .

Oltre al lavoro di Tego, Claude Code ha accumulato almeno 28 CVE in circa un anno di esistenza, tra cui:

• Due evasioni sandbox critiche con CVSS 10.0: CVE-2026-39861 (evasione sandbox tramite symlink) e CVE-2026-25725 (bypass sandbox tramite settings.json)
• CVE-2026-46406 (giugno 2026): il comando /copy scriveva le risposte in un percorso temporaneo hardcoded e leggibile da tutti (/tmp/claude/response.md), permettendo a qualsiasi utente locale di leggere i segreti
• Ricerca di Check Point (febbraio 2026): vulnerabilità critiche (CVE-2025-59536, CVE-2026-21852) che consentivano esecuzione di codice remoto e furto di chiavi API tramite file di configurazione malevoli a livello di repository

La ricerca intersettoriale mostra che questo non è un problema esclusivo di Anthropic:

• GhostApproval (Wiz, luglio 2026): Falle di symlink in sei assistenti di coding AI (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) permettevano a un repository trappola di fare scrivere lo strumento su un file sensibile mentre l'utente approvava la scrittura su un file innocuo
• SymJack (Adversa AI, maggio 2026): Un singolo attacco di hijacking di symlink per ottenere RCE su sei prodotti (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). L'utente approva una copia di file; il kernel scrive altrove
• TrustFall (Adversa AI, maggio 2026): I server MCP definiti nel repository vengono eseguiti automaticamente non appena l'utente accetta il prompt di fiducia nella cartella

La tensione architetturale di fondo è coerente in tutto il settore: gli agenti di coding AI necessitano di ampi permessi di accesso al filesystem, alla shell e alla rete per essere utili, ma questo accesso elevato è lo stesso privilegio di cui un attaccante ha bisogno. Ogni evasione sandbox, path traversal e bypass delle finestre di fiducia deriva da questa stessa sfida . La superficie d'attacco non si riduce: le nuove funzionalità aggiungono nuovi vettori più velocemente di quanto quelli esistenti vengano corretti.