Claude Codeのシンボリックリンク脆弱性：CLAUDE.mdファイルがサイレントにデータを盗む仕組み

新しい発見は、Claude Codeがシンボリックリンクを追跡すること自体ではありません（それは文書化され、意図された動作です）。新しい発見は同意のバイパスです。外部インポートのチェックは未解決のパスに対して行われ、読み取りは解決されたパスに対して行われ、メモリローダーは、過去2件のCVEでClaude Codeのパーミッションサブシステムに適用されたシンボリックリンク解決の修正を決して受け取っていなかったのです 。

Anthropicの対応

Tego AIは2026年7月にHackerOneを通じてこの問題を報告しました。Anthropicはこの報告を「Informative（情報提供）」としてクローズしました。つまり、自社の脅威モデルではセキュリティ脆弱性として扱わないという判断です 。

Anthropicの根拠：Claude Codeの脅威モデルでは、「このフォルダを信頼する」ダイアログがセキュリティ境界です。そのダイアログを受け入れることで、すでにプロジェクトに広範な読み取り、編集、実行アクセスが付与されています。Tego AIはAnthropicがこのモデルを一貫して適用していることは否定しませんが、この発見が依然として重要である理由は、データが自動的かつ静かに、ユーザーの認識外でマシンから送信される点にあると主張しています 。

注目すべき点として、同じシンボリックリンクとセキュリティチェックの失敗パターンは、過去にClaude Codeのパーミッションサブシステムで2度修正されていました：

• CVE-2025-59829（2025年9月修正）：ファイルパーミッションの拒否ルールをシンボリックリンクでバイパス
• CVE-2026-25724（2026年1月修正）：同じパターン、シンボリックリンクによる拒否ルールのバイパス

両方の修正はパーミッションチェックの前にシンボリックリンクを解決していましたが、その修正はメモリローダーのコードパスには適用されていませんでした 。

より広範なパターン：ClaudeエコシステムとAIコーディングツールのセキュリティ

Tego AIの開示は、1週間以内に2つ目のClaudeエコシステムの脆弱性です。2026年7月14日、TegoはClaude TagのSlack統合が、任意のメッセージ内のプレーンテキスト@Claudeによってトリガーされ、不正なエンタープライズアクションを引き起こす可能性があることを開示しました 。

Tegoの研究以外にも、Claude Codeは公開から約1年で少なくとも28件のCVEを蓄積しています。その中には以下が含まれます：

• CVSS 10.0の重大なサンドボックスエスケープが2件：CVE-2026-39861（シンボリックリンクサンドボックスエスケープ）およびCVE-2026-25725（settings.jsonサンドボックスバイパス）
• CVE-2026-46406（2026年6月）：/copyコマンドが応答をハードコードされた誰でも読み取り可能なテンポラリパス/tmp/claude/response.mdに書き込み、ローカルユーザーがシークレットを読み取れる
• Check Point Research（2026年2月）：悪意のあるリポジトリレベルの設定ファイルを介したRCEとAPIキー窃取を可能にする重大な脆弱性（CVE-2025-59536、CVE-2026-21852）

業界横断的な研究は、これがAnthropicに固有の問題ではないことを示しています：

• GhostApproval（Wiz、2026年7月）：6つのAIコーディングアシスタント（Amazon Q Developer、Anthropic、Cursor、Google Gemini、GitHub Copilot、Vercel）のシンボリックリンクの欠陥により、罠を仕掛けられたリポジトリが、ユーザーが無害なファイルへの書き込みを承認している間に、機密ファイルに書き込むことが可能
• SymJack（Adversa AI、2026年5月）：6製品（Claude Code、Gemini CLI、Cursor、Copilot、Grok Build、Codex CLI）に対してRCEを達成する単一のシンボリックリンクハイジャック攻撃。ユーザーがファイルコピーを承認すると、カーネルが別の場所に書き込む
• TrustFall（Adversa AI、2026年5月）：リポジトリで定義されたMCPサーバーが、ユーザーがフォルダの信頼プロンプトを受け入れると自動的に実行される

根底にあるアーキテクチャ上の緊張関係は業界全体で一貫しています。AIコーディングエージェントが有用であるためには、広範なファイルシステム、シェル、ネットワークアクセスが必要ですが、その昇格されたアクセスこそが攻撃者が必要とする特権でもあります。すべてのサンドボックスエスケープ、パストラバーサル、トラストダイアログバイパスは、この同じ課題に起因しています 。攻撃対象領域は縮小しておらず、新しい機能が既存のパッチよりも速く新しいベクターを追加しています。