Ukryte łącze w repozytorium zmusza Claude Code do wysyłania atakującym plików z Twojego komputera
Tego AI ujawniła 24 lipca 2026 r. podatność w Claude Code: plik CLAUDE.md z dyrektywą @import wskazującą na link symboliczny w repozytorium może po cichu odczytać pliki spoza projektu i dołączyć je do pierwszego żądan...
Opublikowane przezEdytowane za pomocą DeepSeek-V4-FlashObrazy wygenerowane za pomocą GPT Image 1.5
Tego AI ujawniła 24 lipca 2026 r. podatność w Claude Code: plik CLAUDE.md z dyrektywą @import wskazującą na link symboliczny w repozytorium może po cichu odczytać pliki spoza projektu i dołączyć je do pierwszego żądan...
Atak wykorzystuje rozbieżność między sprawdzaniem ścieżki leksykalnej a faktycznym odczytem pliku po rozwinięciu dowiązania symbolicznego.
Anthropic zamknął zgłoszenie jako „informacyjne”, argumentując, że okno dialogowe „zaufaj temu folderowi” stanowi granicę bezpieczeństwa.
Ten sam wzorzec błędu (sprawdzanie bezpieczeństwa vs. link symboliczny) był łatany już dwukrotnie w systemie uprawnień Claude Code (CVE 2025 59829 i CVE 2026 25724), ale poprawka nie trafiła do modułu ładującego pamię...
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
24 lipca 2026 roku firma Tego AI, specjalizująca się w cyberbezpieczeństwie, ujawniła lukę w narzędziu programistycznym Claude Code od Anthropica. Atak polega na umieszczeniu w repozytorium złośliwego pliku CLAUDE.md, który za pomocą dowiązania symbolicznego (symlink) może po cichu odczytać dane z maszyny programisty i wysłać je do modelu AI — bez żadnego ostrzeżenia, okna dialogowego ani widocznego wywołania narzędzia .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Ukryte łącze w repozytorium zmusza Claude Code do wysyłania atakującym plików z Twojego komputera"?
Tego AI ujawniła 24 lipca 2026 r. podatność w Claude Code: plik CLAUDE.md z dyrektywą @import wskazującą na link symboliczny w repozytorium może po cichu odczytać pliki spoza projektu i dołączyć je do pierwszego żądan...
What are the key points to validate first?
Tego AI ujawniła 24 lipca 2026 r. podatność w Claude Code: plik CLAUDE.md z dyrektywą @import wskazującą na link symboliczny w repozytorium może po cichu odczytać pliki spoza projektu i dołączyć je do pierwszego żądan... Atak wykorzystuje rozbieżność między sprawdzaniem ścieżki leksykalnej a faktycznym odczytem pliku po rozwinięciu dowiązania symbolicznego.
What should I do next in practice?
Anthropic zamknął zgłoszenie jako „informacyjne”, argumentując, że okno dialogowe „zaufaj temu folderowi” stanowi granicę bezpieczeństwa.
Ukryte łącze w repozytorium zmusza Claude Code do wysyłania atakującym plików z Twojego komputera
Tego AI ujawniła 24 lipca 2026 r. podatność w Claude Code: plik CLAUDE.md z dyrektywą @import wskazującą na link symboliczny w repozytorium może po cichu odczytać pliki spoza projektu i dołączyć je do pierwszego żądan...
Opublikowane przezEdytowane za pomocą DeepSeek-V4-FlashObrazy wygenerowane za pomocą GPT Image 1.5
Tego AI ujawniła 24 lipca 2026 r. podatność w Claude Code: plik CLAUDE.md z dyrektywą @import wskazującą na link symboliczny w repozytorium może po cichu odczytać pliki spoza projektu i dołączyć je do pierwszego żądan...
Atak wykorzystuje rozbieżność między sprawdzaniem ścieżki leksykalnej a faktycznym odczytem pliku po rozwinięciu dowiązania symbolicznego.
Anthropic zamknął zgłoszenie jako „informacyjne”, argumentując, że okno dialogowe „zaufaj temu folderowi” stanowi granicę bezpieczeństwa.
Ten sam wzorzec błędu (sprawdzanie bezpieczeństwa vs. link symboliczny) był łatany już dwukrotnie w systemie uprawnień Claude Code (CVE 2025 59829 i CVE 2026 25724), ale poprawka nie trafiła do modułu ładującego pamię...
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
24 lipca 2026 roku firma Tego AI, specjalizująca się w cyberbezpieczeństwie, ujawniła lukę w narzędziu programistycznym Claude Code od Anthropica. Atak polega na umieszczeniu w repozytorium złośliwego pliku CLAUDE.md, który za pomocą dowiązania symbolicznego (symlink) może po cichu odczytać dane z maszyny programisty i wysłać je do modelu AI — bez żadnego ostrzeżenia, okna dialogowego ani widocznego wywołania narzędzia .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Ukryte łącze w repozytorium zmusza Claude Code do wysyłania atakującym plików z Twojego komputera"?
Tego AI ujawniła 24 lipca 2026 r. podatność w Claude Code: plik CLAUDE.md z dyrektywą @import wskazującą na link symboliczny w repozytorium może po cichu odczytać pliki spoza projektu i dołączyć je do pierwszego żądan...
What are the key points to validate first?
Tego AI ujawniła 24 lipca 2026 r. podatność w Claude Code: plik CLAUDE.md z dyrektywą @import wskazującą na link symboliczny w repozytorium może po cichu odczytać pliki spoza projektu i dołączyć je do pierwszego żądan... Atak wykorzystuje rozbieżność między sprawdzaniem ścieżki leksykalnej a faktycznym odczytem pliku po rozwinięciu dowiązania symbolicznego.
What should I do next in practice?
Anthropic zamknął zgłoszenie jako „informacyjne”, argumentując, że okno dialogowe „zaufaj temu folderowi” stanowi granicę bezpieczeństwa.
Luka wykorzystuje rozbieżność pochodzenia (ang. provenance mismatch) między ścieżką, którą sprawdza Claude Code (ścieżka leksykalna), a tą, którą faktycznie odczytuje (ścieżka po rozwinięciu dowiązania symbolicznego). Oto krok po kroku:
Złośliwe repozytorium zawiera pozornie normalny plik CLAUDE.md z dyrektywą @import wskazującą na plik wewnątrz repozytorium — na przykład @./link.
Ten plik (link) to w rzeczywistości dowiązanie symboliczne zapisane w Git (typ 120000), wskazujące na cel poza repozytorium, np. /etc/passwd lub ../../../../home/user/.ssh/id_rsa. Git zachowuje dowiązania symboliczne podczas klonowania .
Gdy programista klonuje repozytorium i uruchamia Claude Code, moduł ładujący pamięć odczytuje CLAUDE.md i napotyka dyrektywę @./link. Sprawdza, czy leksykalna ścieżka (./link) znajduje się wewnątrz projektu — tak jest, więc import zostaje sklasyfikowany jako „wewnętrzny” i nie pojawia się okno dialogowe z prośbą o zatwierdzenie zewnętrznego importu.
Moduł ładujący podąża za dowiązaniem symbolicznym do rzeczywistego pliku docelowego poza projektem, odczytuje jego zawartość i umieszcza ją w początkowym kontekście modelu .
Zawartość opuszcza maszynę w pierwszym wysyłanym żądaniu do API Anthropica — zanim model podejmie jakiekolwiek działanie i bez widocznego wywołania narzędzia. Użytkownik nie widzi żadnego ostrzeżenia .
Opcjonalnie znane już ustawienie ANTHROPIC_BASE_URL w repozytorium może przekierować punkt końcowy na serwer kontrolowany przez atakującego, finalizując kradzież danych .
Nowatorskim odkryciem nie jest to, że Claude Code podąża za dowiązaniami symbolicznymi — to zachowanie jest udokumentowane i zamierzone. Nowatorskie jest ominięcie zgody: kontrola importu zewnętrznego sprawdza nierozwiniętą ścieżkę, odczyt działa na rozwiniętej, a moduł ładujący pamięć nigdy nie otrzymał poprawki dotyczącej rozwiązywania dowiązań symbolicznych, która została zastosowana w systemie uprawnień Claude Code w dwóch wcześniejszych lukach CVE .
Reakcja Anthropica
Tego AI zgłosiło problem przez platformę HackerOne w lipcu 2026 roku. Anthropic zamknął zgłoszenie jako „informacyjne” (ang. Informative) — oznacza to, że nie potraktowano go jako luki bezpieczeństwa w obowiązującym modelu zagrożeń .
Uzasadnienie Anthropica: w modelu zagrożeń Claude Code to okno dialogowe „zaufaj temu folderowi” stanowi granicę bezpieczeństwa. Zaakceptowanie go przyznaje projektowi szerokie uprawnienia do odczytu, edycji i wykonywania kodu. Tego AI nie kwestionuje, że Anthropic konsekwentnie stosuje ten model, ale argumentuje, że znalezisko wciąż ma znaczenie, ponieważ dane opuszczają maszynę automatycznie, po cichu i poza świadomością użytkownika .
Co istotne, ten sam wzorzec błędu — sprawdzanie bezpieczeństwa a dowiązanie symboliczne — był łatany już dwukrotnie w systemie uprawnień Claude Code:
CVE-2025-59829 (załatanie we wrześniu 2025): ominięcie reguł blokowania plików przez dowiązania symboliczne
CVE-2026-25724 (załatanie w styczniu 2026): ten sam wzorzec, ponowne ominięcie reguł blokowania przez dowiązania
W obu przypadkach poprawka rozwiązywała dowiązanie symboliczne przed sprawdzeniem uprawnień — ale ta poprawka nigdy nie trafiła do ścieżki kodu modułu ładującego pamięć, którą znalazło Tego AI .
Szerszy kontekst: ekosystem Claude i bezpieczeństwo narzędzi AI dla programistów
Odkrycie Tego AI to druga luka w ekosystemie Claude w ciągu tygodnia. 14 lipca 2026 roku Tego ujawniło, że integracja Claude Tag ze Slackiem może być aktywowana przez zwykły tekst @Claude w dowolnej wiadomości, potencjalnie umożliwiając nieautoryzowane działania w przedsiębiorstwie .
Poza pracami Tego AI, Claude Code zgromadził co najmniej 28 luk CVE w ciągu około roku swojego istnienia, w tym:
Dwie krytyczne ucieczki z piaskownicy o wskaźniku CVSS 10.0: CVE-2026-39861 (ucieczka przez dowiązanie symboliczne) i CVE-2026-25725 (ominaięcie piaskownicy przez settings.json)
CVE-2026-46406 (czerwiec 2026): komenda /copy zapisywała odpowiedzi do zakodowanej na stałe, ogólnodostępnej ścieżki /tmp/claude/response.md, umożliwiając odczyt sekretów każdemu użytkownikowi lokalnemu
Badania Check Point (luty 2026): krytyczne luki (CVE-2025-59536, CVE-2026-21852) umożliwiające zdalne wykonanie kodu i kradzież kluczy API poprzez złośliwe pliki konfiguracyjne na poziomie repozytorium
Badania międzybranżowe pokazują, że nie jest to problem wyłącznie Anthropica:
GhostApproval (Wiz, lipiec 2026): Luki związane z dowiązaniami symbolicznymi w sześciu asystentach AI dla programistów (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) pozwalały złośliwemu repozytorium na zapis do wrażliwego pliku, podczas gdy użytkownik zatwierdzał zapis do nieszkodliwego
SymJack (Adversa AI, maj 2026): Pojedynczy atak przez porwanie dowiązania symbolicznego osiągający zdalne wykonanie kodu w sześciu produktach (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Użytkownik zatwierdza kopiowanie pliku; jądro zapisuje gdzie indziej
TrustFall (Adversa AI, maj 2026): Serwery MCP zdefiniowane w repozytorium wykonują się automatycznie po zaakceptowaniu przez użytkownika monitu o zaufanie do folderu
Podstawowe napięcie architektoniczne jest spójne w całej branży: agenci AI do kodowania potrzebują szerokiego dostępu do systemu plików, powłoki i sieci, aby być użytecznymi — ale ten podniesiony dostęp to te same uprawnienia, których potrzebuje atakujący. Każda ucieczka z piaskownicy, przejście ścieżki i ominięcie okna zaufania wynika z tego samego wyzwania . Powierzchnia ataku nie maleje; nowe funkcje dodają nowe wektory szybciej, niż łatane są istniejące.
Luka wykorzystuje rozbieżność pochodzenia (ang. provenance mismatch) między ścieżką, którą sprawdza Claude Code (ścieżka leksykalna), a tą, którą faktycznie odczytuje (ścieżka po rozwinięciu dowiązania symbolicznego). Oto krok po kroku:
Złośliwe repozytorium zawiera pozornie normalny plik CLAUDE.md z dyrektywą @import wskazującą na plik wewnątrz repozytorium — na przykład @./link.
Ten plik (link) to w rzeczywistości dowiązanie symboliczne zapisane w Git (typ 120000), wskazujące na cel poza repozytorium, np. /etc/passwd lub ../../../../home/user/.ssh/id_rsa. Git zachowuje dowiązania symboliczne podczas klonowania .
Gdy programista klonuje repozytorium i uruchamia Claude Code, moduł ładujący pamięć odczytuje CLAUDE.md i napotyka dyrektywę @./link. Sprawdza, czy leksykalna ścieżka (./link) znajduje się wewnątrz projektu — tak jest, więc import zostaje sklasyfikowany jako „wewnętrzny” i nie pojawia się okno dialogowe z prośbą o zatwierdzenie zewnętrznego importu.
Moduł ładujący podąża za dowiązaniem symbolicznym do rzeczywistego pliku docelowego poza projektem, odczytuje jego zawartość i umieszcza ją w początkowym kontekście modelu .
Zawartość opuszcza maszynę w pierwszym wysyłanym żądaniu do API Anthropica — zanim model podejmie jakiekolwiek działanie i bez widocznego wywołania narzędzia. Użytkownik nie widzi żadnego ostrzeżenia .
Opcjonalnie znane już ustawienie ANTHROPIC_BASE_URL w repozytorium może przekierować punkt końcowy na serwer kontrolowany przez atakującego, finalizując kradzież danych .
Nowatorskim odkryciem nie jest to, że Claude Code podąża za dowiązaniami symbolicznymi — to zachowanie jest udokumentowane i zamierzone. Nowatorskie jest ominięcie zgody: kontrola importu zewnętrznego sprawdza nierozwiniętą ścieżkę, odczyt działa na rozwiniętej, a moduł ładujący pamięć nigdy nie otrzymał poprawki dotyczącej rozwiązywania dowiązań symbolicznych, która została zastosowana w systemie uprawnień Claude Code w dwóch wcześniejszych lukach CVE .
Reakcja Anthropica
Tego AI zgłosiło problem przez platformę HackerOne w lipcu 2026 roku. Anthropic zamknął zgłoszenie jako „informacyjne” (ang. Informative) — oznacza to, że nie potraktowano go jako luki bezpieczeństwa w obowiązującym modelu zagrożeń .
Uzasadnienie Anthropica: w modelu zagrożeń Claude Code to okno dialogowe „zaufaj temu folderowi” stanowi granicę bezpieczeństwa. Zaakceptowanie go przyznaje projektowi szerokie uprawnienia do odczytu, edycji i wykonywania kodu. Tego AI nie kwestionuje, że Anthropic konsekwentnie stosuje ten model, ale argumentuje, że znalezisko wciąż ma znaczenie, ponieważ dane opuszczają maszynę automatycznie, po cichu i poza świadomością użytkownika .
Co istotne, ten sam wzorzec błędu — sprawdzanie bezpieczeństwa a dowiązanie symboliczne — był łatany już dwukrotnie w systemie uprawnień Claude Code:
CVE-2025-59829 (załatanie we wrześniu 2025): ominięcie reguł blokowania plików przez dowiązania symboliczne
CVE-2026-25724 (załatanie w styczniu 2026): ten sam wzorzec, ponowne ominięcie reguł blokowania przez dowiązania
W obu przypadkach poprawka rozwiązywała dowiązanie symboliczne przed sprawdzeniem uprawnień — ale ta poprawka nigdy nie trafiła do ścieżki kodu modułu ładującego pamięć, którą znalazło Tego AI .
Szerszy kontekst: ekosystem Claude i bezpieczeństwo narzędzi AI dla programistów
Odkrycie Tego AI to druga luka w ekosystemie Claude w ciągu tygodnia. 14 lipca 2026 roku Tego ujawniło, że integracja Claude Tag ze Slackiem może być aktywowana przez zwykły tekst @Claude w dowolnej wiadomości, potencjalnie umożliwiając nieautoryzowane działania w przedsiębiorstwie .
Poza pracami Tego AI, Claude Code zgromadził co najmniej 28 luk CVE w ciągu około roku swojego istnienia, w tym:
Dwie krytyczne ucieczki z piaskownicy o wskaźniku CVSS 10.0: CVE-2026-39861 (ucieczka przez dowiązanie symboliczne) i CVE-2026-25725 (ominaięcie piaskownicy przez settings.json)
CVE-2026-46406 (czerwiec 2026): komenda /copy zapisywała odpowiedzi do zakodowanej na stałe, ogólnodostępnej ścieżki /tmp/claude/response.md, umożliwiając odczyt sekretów każdemu użytkownikowi lokalnemu
Badania Check Point (luty 2026): krytyczne luki (CVE-2025-59536, CVE-2026-21852) umożliwiające zdalne wykonanie kodu i kradzież kluczy API poprzez złośliwe pliki konfiguracyjne na poziomie repozytorium
Badania międzybranżowe pokazują, że nie jest to problem wyłącznie Anthropica:
GhostApproval (Wiz, lipiec 2026): Luki związane z dowiązaniami symbolicznymi w sześciu asystentach AI dla programistów (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) pozwalały złośliwemu repozytorium na zapis do wrażliwego pliku, podczas gdy użytkownik zatwierdzał zapis do nieszkodliwego
SymJack (Adversa AI, maj 2026): Pojedynczy atak przez porwanie dowiązania symbolicznego osiągający zdalne wykonanie kodu w sześciu produktach (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Użytkownik zatwierdza kopiowanie pliku; jądro zapisuje gdzie indziej
TrustFall (Adversa AI, maj 2026): Serwery MCP zdefiniowane w repozytorium wykonują się automatycznie po zaakceptowaniu przez użytkownika monitu o zaufanie do folderu
Podstawowe napięcie architektoniczne jest spójne w całej branży: agenci AI do kodowania potrzebują szerokiego dostępu do systemu plików, powłoki i sieci, aby być użytecznymi — ale ten podniesiony dostęp to te same uprawnienia, których potrzebuje atakujący. Każda ucieczka z piaskownicy, przejście ścieżki i ominięcie okna zaufania wynika z tego samego wyzwania . Powierzchnia ataku nie maleje; nowe funkcje dodają nowe wektory szybciej, niż łatane są istniejące.
