Bagaimana Serangan Berfungsi

Kerentanan ini bergantung pada satu pengawasan yang mudah tetapi kritikal dalam pemuat memori Claude Code:

1. Repositori berniat jahat mengandungi fail CLAUDE.md yang kelihatan biasa dengan arahan @import yang menunjuk ke fail dalam repositori — contohnya, @./link .
2. Fail tersebut adalah pautan simbolik yang disimpan dalam Git (mod 120000 dalam Git) yang menunjuk ke sasaran di luar repositori, seperti /etc/passwd atau ../../../../home/user/.ssh/id_rsa. Git mengekalkan symlink semasa pengklonan .
3. Apabila pembangun mengklon repositori dan melancarkan Claude Code, pemuat memori membaca CLAUDE.md dan menemui import @./link. Ia menyemak sama ada laluan leksikal (./link) berada di dalam projek — ya — jadi import diklasifikasikan sebagai "dalaman" dan tiada dialog kelulusan import luaran muncul .
4. Pemuat kemudian mengikut symlink ke sasaran sebenar di luar projek, membaca kandungannya, dan meletakkannya dalam tetingkap konteks awal model .
5. Kandungan meninggalkan mesin pada permintaan keluar pertama ke API Anthropic — sebelum model mengambil sebarang tindakan dan tanpa sebarang panggilan alat yang kelihatan. Pengguna tidak melihat sebarang amaran .
6. Secara pilihan, tetapan ANTHROPIC_BASE_URL yang diketahui dalam repositori boleh mengarahkan semula titik akhir keluar ke pelayan yang dikawal penyerang, melengkapkan eksfiltrasi .

Penemuan baru ini bukan bahawa Claude Code mengikut symlink — itu didokumenkan dan disengajakan. Penemuan baru adalah pintasan persetujuan: semakan import luaran berjalan pada laluan yang tidak diselesaikan, bacaan beroperasi pada laluan yang diselesaikan, dan pemuat memori tidak pernah menerima pembetulan resolusi symlink yang telah digunakan pada subsistem kebenaran Claude Code dalam dua CVE sebelumnya .

Respons Anthropic

Tego AI melaporkan isu ini melalui HackerOne pada Julai 2026. Anthropic menutup laporan sebagai "Informative" — bermakna ia tidak menganggapnya sebagai kerentanan keselamatan di bawah model ancaman semasanya .

Rasional Anthropic: di bawah model ancaman Claude Code, dialog "trust this folder" adalah sempadan keselamatan. Menerima dialog itu sudah memberikan repositori akses baca, edit, dan laksana yang luas. Tego AI tidak mempertikaikan bahawa Anthropic secara konsisten menggunakan model ini, tetapi berhujah penemuan ini masih penting kerana data meninggalkan mesin secara automatik, senyap, dan di luar pengetahuan pengguna .

Yang menarik, corak kegagalan symlink lawan semakan keselamatan yang sama telah diperbaiki dua kali sebelum ini dalam subsistem kebenaran Claude Code:

• CVE-2025-59829 (diperbaiki September 2025): pintasan symlink terhadap peraturan nafikan dalam kebenaran fail
• CVE-2026-25724 (diperbaiki Januari 2026): corak yang sama lagi, pintasan peraturan nafikan melalui symlink

Kedua-dua pembetulan sebelumnya menyelesaikan symlink sebelum menyemak kebenaran — tetapi pembetulan itu tidak pernah digunakan pada laluan kod pemuat memori .

Corak Lebih Luas: Ekosistem Claude dan Keselamatan Alat Pengekodan AI

Pendedahan Tego AI adalah kecacatan ekosistem Claude kedua dalam seminggu. Pada 14 Julai 2026, Tego mendedahkan bahawa integrasi Slack Claude Tag boleh dicetuskan oleh teks @Claude biasa dalam mana-mana mesej, berpotensi membolehkan tindakan perusahaan yang tidak dibenarkan .

Selain kerja Tego, Claude Code telah mengumpul sekurang-kurangnya 28 CVE dalam kira-kira satu tahun kewujudannya, termasuk:

• Dua pelarian kotak pasir (sandbox escape) kritikal CVSS 10.0: CVE-2026-39861 (pelarian kotak pasir symlink) dan CVE-2026-25725 (pintasan kotak pasir settings.json)
• CVE-2026-46406 (Jun 2026): arahan /copy menulis respons ke laluan sementara yang keras dan boleh dibaca dunia /tmp/claude/response.md, membenarkan mana-mana pengguna tempatan membaca rahsia
• Penyelidikan Check Point (Februari 2026): kecacatan kritikal (CVE-2025-59536, CVE-2026-21852) membolehkan RCE dan kecurian kunci API melalui fail konfigurasi peringkat repositori berniat jahat

Penyelidikan merentas industri menunjukkan ini bukan unik kepada Anthropic:

• GhostApproval (Wiz, Julai 2026): Kecacatan symlink dalam enam pembantu pengekodan AI (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) membolehkan repositori perangkap membuat alat menulis ke fail sensitif semasa pengguna meluluskan menulis ke fail yang tidak berbahaya
• SymJack (Adversa AI, Mei 2026): Serangan rampasan symlink tunggal mencapai RCE merentasi enam produk (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Pengguna meluluskan salinan fail; kernel menulis di tempat lain
• TrustFall (Adversa AI, Mei 2026): Pelayan MCP yang ditakrifkan repositori melaksanakan secara automatik sebaik sahaja pengguna menerima gesaan kepercayaan folder

Ketegangan seni bina asas adalah konsisten merentas industri: ejen pengekodan AI memerlukan akses sistem fail, cengkerang, dan rangkaian yang luas untuk berguna — tetapi akses tinggi itu adalah keistimewaan yang sama yang diperlukan oleh penyerang. Setiap pelarian kotak pasir, lintasan laluan, dan pintasan dialog kepercayaan berasal dari cabaran yang sama ini . Permukaan serangan tidak mengecut; ciri baru menambah vektor baru lebih cepat daripada yang sedia ada diperbaiki.

Bagaimana Serangan Berfungsi

Kerentanan ini bergantung pada satu pengawasan yang mudah tetapi kritikal dalam pemuat memori Claude Code:

1. Repositori berniat jahat mengandungi fail CLAUDE.md yang kelihatan biasa dengan arahan @import yang menunjuk ke fail dalam repositori — contohnya, @./link .
2. Fail tersebut adalah pautan simbolik yang disimpan dalam Git (mod 120000 dalam Git) yang menunjuk ke sasaran di luar repositori, seperti /etc/passwd atau ../../../../home/user/.ssh/id_rsa. Git mengekalkan symlink semasa pengklonan .
3. Apabila pembangun mengklon repositori dan melancarkan Claude Code, pemuat memori membaca CLAUDE.md dan menemui import @./link. Ia menyemak sama ada laluan leksikal (./link) berada di dalam projek — ya — jadi import diklasifikasikan sebagai "dalaman" dan tiada dialog kelulusan import luaran muncul .
4. Pemuat kemudian mengikut symlink ke sasaran sebenar di luar projek, membaca kandungannya, dan meletakkannya dalam tetingkap konteks awal model .
5. Kandungan meninggalkan mesin pada permintaan keluar pertama ke API Anthropic — sebelum model mengambil sebarang tindakan dan tanpa sebarang panggilan alat yang kelihatan. Pengguna tidak melihat sebarang amaran .
6. Secara pilihan, tetapan ANTHROPIC_BASE_URL yang diketahui dalam repositori boleh mengarahkan semula titik akhir keluar ke pelayan yang dikawal penyerang, melengkapkan eksfiltrasi .

Penemuan baru ini bukan bahawa Claude Code mengikut symlink — itu didokumenkan dan disengajakan. Penemuan baru adalah pintasan persetujuan: semakan import luaran berjalan pada laluan yang tidak diselesaikan, bacaan beroperasi pada laluan yang diselesaikan, dan pemuat memori tidak pernah menerima pembetulan resolusi symlink yang telah digunakan pada subsistem kebenaran Claude Code dalam dua CVE sebelumnya .

Respons Anthropic

Tego AI melaporkan isu ini melalui HackerOne pada Julai 2026. Anthropic menutup laporan sebagai "Informative" — bermakna ia tidak menganggapnya sebagai kerentanan keselamatan di bawah model ancaman semasanya .

Rasional Anthropic: di bawah model ancaman Claude Code, dialog "trust this folder" adalah sempadan keselamatan. Menerima dialog itu sudah memberikan repositori akses baca, edit, dan laksana yang luas. Tego AI tidak mempertikaikan bahawa Anthropic secara konsisten menggunakan model ini, tetapi berhujah penemuan ini masih penting kerana data meninggalkan mesin secara automatik, senyap, dan di luar pengetahuan pengguna .

Yang menarik, corak kegagalan symlink lawan semakan keselamatan yang sama telah diperbaiki dua kali sebelum ini dalam subsistem kebenaran Claude Code:

• CVE-2025-59829 (diperbaiki September 2025): pintasan symlink terhadap peraturan nafikan dalam kebenaran fail
• CVE-2026-25724 (diperbaiki Januari 2026): corak yang sama lagi, pintasan peraturan nafikan melalui symlink

Kedua-dua pembetulan sebelumnya menyelesaikan symlink sebelum menyemak kebenaran — tetapi pembetulan itu tidak pernah digunakan pada laluan kod pemuat memori .

Corak Lebih Luas: Ekosistem Claude dan Keselamatan Alat Pengekodan AI

Pendedahan Tego AI adalah kecacatan ekosistem Claude kedua dalam seminggu. Pada 14 Julai 2026, Tego mendedahkan bahawa integrasi Slack Claude Tag boleh dicetuskan oleh teks @Claude biasa dalam mana-mana mesej, berpotensi membolehkan tindakan perusahaan yang tidak dibenarkan .

Selain kerja Tego, Claude Code telah mengumpul sekurang-kurangnya 28 CVE dalam kira-kira satu tahun kewujudannya, termasuk:

• Dua pelarian kotak pasir (sandbox escape) kritikal CVSS 10.0: CVE-2026-39861 (pelarian kotak pasir symlink) dan CVE-2026-25725 (pintasan kotak pasir settings.json)
• CVE-2026-46406 (Jun 2026): arahan /copy menulis respons ke laluan sementara yang keras dan boleh dibaca dunia /tmp/claude/response.md, membenarkan mana-mana pengguna tempatan membaca rahsia
• Penyelidikan Check Point (Februari 2026): kecacatan kritikal (CVE-2025-59536, CVE-2026-21852) membolehkan RCE dan kecurian kunci API melalui fail konfigurasi peringkat repositori berniat jahat

Penyelidikan merentas industri menunjukkan ini bukan unik kepada Anthropic:

• GhostApproval (Wiz, Julai 2026): Kecacatan symlink dalam enam pembantu pengekodan AI (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) membolehkan repositori perangkap membuat alat menulis ke fail sensitif semasa pengguna meluluskan menulis ke fail yang tidak berbahaya
• SymJack (Adversa AI, Mei 2026): Serangan rampasan symlink tunggal mencapai RCE merentasi enam produk (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Pengguna meluluskan salinan fail; kernel menulis di tempat lain
• TrustFall (Adversa AI, Mei 2026): Pelayan MCP yang ditakrifkan repositori melaksanakan secara automatik sebaik sahaja pengguna menerima gesaan kepercayaan folder

Ketegangan seni bina asas adalah konsisten merentas industri: ejen pengekodan AI memerlukan akses sistem fail, cengkerang, dan rangkaian yang luas untuk berguna — tetapi akses tinggi itu adalah keistimewaan yang sama yang diperlukan oleh penyerang. Setiap pelarian kotak pasir, lintasan laluan, dan pintasan dialog kepercayaan berasal dari cabaran yang sama ini . Permukaan serangan tidak mengecut; ciri baru menambah vektor baru lebih cepat daripada yang sedia ada diperbaiki.