클로드 코드 심볼릭 링크 취약점: CLAUDE.md 파일로 데이터가 조용히 빠져나간다

2026년 7월 24일, 이스라엘 사이버보안 기업 Tego AI는 Anthropic의 AI 코딩 도구 'Claude Code'에서 개발자 기기의 파일을 조용히 빼돌릴 수 있는 취약점을 공개했다. 이 공격은 프로젝트 설정 파일인 CLAUDE.md에 포함된 심볼릭 링크(symlink)를 악용한다. 개발자가 악성 저장소를 클론하고 Claude Code를 실행하는 순간, 외부 파일(예: SSH 개인키, /etc/passwd)의 내용이 모델의 첫 번째 요청에 포함되어 외부로 전송된다. 사용자에게는 어떤 경고나 승인 대화상자도 나타나지 않는다.

공격은 어떻게 작동하는가

이 취약점은 Claude Code의 메모리 로더(memory loader)에서 발생하는 출처 불일치(provenance mismatch) 를 이용한다.

1. 악성 저장소에 정상적인 CLAUDE.md 파일이 포함되어 있다. 이 파일에는 @./link처럼 저장소 내부 파일을 가리키는 @import 지시문이 있다.
2. 해당 파일은 실제로 Git이 추적하는 심볼릭 링크다(Git 모드 120000). 이 링크는 저장소 외부, 예를 들어 /etc/passwd나 ../../../../home/user/.ssh/id_rsa를 가리킨다. Git은 클론 시 심볼릭 링크를 그대로 유지한다.
3. 개발자가 저장소를 클론하고 Claude Code를 실행하면, 메모리 로더는 CLAUDE.md를 읽고 @./link 임포트를 만난다. 이때 lexical 경로(./link)가 프로젝트 내부에 있는지만 확인한다. 내부로 판단되면 외부 임포트 승인 대화상자가 표시되지 않는다.
4. 로더는 심볼릭 링크를 따라 실제 대상 파일(프로젝트 외부)을 읽고, 그 내용을 모델의 초기 컨텍스트 창에 넣는다.
5. 내용은 모델이 어떤 행동을 취하기도 전에, 첫 번째 아웃바운드 API 요청에 포함되어 Anthropic 서버로 전송된다. 사용자는 어떤 도구 호출도 볼 수 없고, 어떤 경고도 받지 못한다.
6. 선택적으로, 저장소에 설정된 ANTHROPIC_BASE_URL 환경 변수를 통해 데이터를 공격자가 통제하는 서버로 직접 보낼 수도 있다.

새로운 발견의 핵심은 Claude Code가 심볼릭 링크를 따라간다는 사실이 아니다(이것은 문서화된 의도된 동작이다). 핵심은 동의 우회(consent bypass) 다. 외부 파일 임포트 검사는 경로를 확인하지 않은 상태에서 이루어지지만, 읽기 작업은 확인된 경로에서 수행된다. 그리고 메모리 로더 코드 경로에는 이전에 두 차례(CVE) 권한 하위 시스템에 적용된 심볼릭 링크 해결 수정이 적용되지 않았다.

Anthropic의 대응

Tego AI는 2026년 7월 HackerOne을 통해 이 문제를 보고했다. Anthropic은 이 보고서를 '정보 제공(Informative)'으로 종료했다. 즉, 현재 위협 모델 하에서는 보안 취약점으로 간주하지 않는다는 뜻이다.

Anthropic의 논리는 다음과 같다: Claude Code의 위협 모델에서 '이 폴더 신뢰(trust this folder)' 대화상자가 보안 경계다. 해당 대화상자를 수락하면 이미 프로젝트에 광범위한 읽기, 편집, 실행 권한이 부여된다. Tego AI는 Anthropic이 이 모델을 일관되게 적용한다는 점에 이의를 제기하지 않지만, 데이터가 자동으로, 조용히, 사용자 인지 없이 기계를 떠난다는 점에서 여전히 문제가 중요하다고 주장한다.

주목할 점은, 동일한 심볼릭 링크 대 보안 검사 실패 패턴이 Claude Code 권한 하위 시스템에서 이미 두 번 수정되었다는 것이다.

• CVE-2025-59829 (2025년 9월 수정): 파일 권한 거부 규칙의 심볼릭 링크 우회
• CVE-2026-25724 (2026년 1월 수정): 동일 패턴, 거부 규칙의 심볼릭 링크 우회

두 수정 모두 권한을 확인하기 전에 심볼릭 링크를 해결했지만, 이 수정이 메모리 로더 코드 경로에는 적용되지 않았다.

더 넓은 패턴: Claude 생태계와 AI 코딩 도구 보안

Tego AI의 이번 공개는 일주일 사이에 두 번째 Claude 생태계 결함이다. 2026년 7월 14일, Tego는 Claude Tag의 Slack 통합이 모든 메시지에서 일반 @Claude 텍스트에 의해 트리거되어 승인되지 않은 엔터프라이즈 작업을 유발할 수 있다고 공개했다.

Tego의 연구 외에도, Claude Code는 약 1년 동안 최소 28개의 CVE가 축적되었다. 주요 사례는 다음과 같다.

• CVSS 10.0 치명적 샌드박스 탈출 2건: CVE-2026-39861(심볼릭 링크 샌드박스 탈출) 및 CVE-2026-25725(settings.json 샌드박스 우회)
• CVE-2026-46406 (2026년 6월): /copy 명령이 응답을 고정된 경로 /tmp/claude/response.md에 세계 읽기 가능하게 저장하여 로컬 사용자가 비밀을 읽을 수 있던 문제
• Check Point Research (2026년 2월): 저장소 수준 설정 파일을 통한 원격 코드 실행 및 API 키 탈취를 가능하게 한 치명적 결함(CVE-2025-59536, CVE-2026-21852)

업계 전반의 연구는 이 문제가 Anthropic에만 국한되지 않음을 보여준다.

• GhostApproval (Wiz, 2026년 7월): 6개의 AI 코딩 어시스턴트(Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel)에서 심볼릭 링크 결함이 발견됐다. 사용자가 무해한 파일에 쓰기를 승인하면 실제로는 민감한 파일에 쓰기가 이루어진다.
• SymJack (Adversa AI, 2026년 5월): 6개 제품(Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI)에서 하나의 심볼릭 링크 하이재킹 공격으로 원격 코드 실행이 달성됐다. 사용자는 파일 복사를 승인하지만, 커널은 다른 곳에 쓴다.
• TrustFall (Adversa AI, 2026년 5월): 저장소에 정의된 MCP 서버가 사용자가 폴더 신뢰 프롬프트를 수락하는 즉시 자동으로 실행된다.

근본적인 구조적 긴장 관계는 업계 전반에 걸쳐 일관된다: AI 코딩 에이전트가 유용하려면 광범위한 파일 시스템, 셸, 네트워크 접근 권한이 필요하다. 그러나 그 높은 접근 권한은 공격자에게도 필요한 바로 그 권한이다. 모든 샌드박스 탈출, 경로 순회, 신뢰 대화상자 우회는 이 동일한 과제에서 비롯된다. 공격 표면은 줄어들지 않고 있다. 새로운 기능이 기존 기능이 패치되는 속도보다 빠르게 새로운 벡터를 추가하고 있다.