Ukryte łącze w repozytorium zmusza Claude Code do wysyłania atakującym plików z Twojego komputera

Nowatorskim odkryciem nie jest to, że Claude Code podąża za dowiązaniami symbolicznymi — to zachowanie jest udokumentowane i zamierzone. Nowatorskie jest ominięcie zgody: kontrola importu zewnętrznego sprawdza nierozwiniętą ścieżkę, odczyt działa na rozwiniętej, a moduł ładujący pamięć nigdy nie otrzymał poprawki dotyczącej rozwiązywania dowiązań symbolicznych, która została zastosowana w systemie uprawnień Claude Code w dwóch wcześniejszych lukach CVE .

Reakcja Anthropica

Tego AI zgłosiło problem przez platformę HackerOne w lipcu 2026 roku. Anthropic zamknął zgłoszenie jako „informacyjne” (ang. Informative) — oznacza to, że nie potraktowano go jako luki bezpieczeństwa w obowiązującym modelu zagrożeń .

Uzasadnienie Anthropica: w modelu zagrożeń Claude Code to okno dialogowe „zaufaj temu folderowi” stanowi granicę bezpieczeństwa. Zaakceptowanie go przyznaje projektowi szerokie uprawnienia do odczytu, edycji i wykonywania kodu. Tego AI nie kwestionuje, że Anthropic konsekwentnie stosuje ten model, ale argumentuje, że znalezisko wciąż ma znaczenie, ponieważ dane opuszczają maszynę automatycznie, po cichu i poza świadomością użytkownika .

Co istotne, ten sam wzorzec błędu — sprawdzanie bezpieczeństwa a dowiązanie symboliczne — był łatany już dwukrotnie w systemie uprawnień Claude Code:

• CVE-2025-59829 (załatanie we wrześniu 2025): ominięcie reguł blokowania plików przez dowiązania symboliczne
• CVE-2026-25724 (załatanie w styczniu 2026): ten sam wzorzec, ponowne ominięcie reguł blokowania przez dowiązania

W obu przypadkach poprawka rozwiązywała dowiązanie symboliczne przed sprawdzeniem uprawnień — ale ta poprawka nigdy nie trafiła do ścieżki kodu modułu ładującego pamięć, którą znalazło Tego AI .

Szerszy kontekst: ekosystem Claude i bezpieczeństwo narzędzi AI dla programistów

Odkrycie Tego AI to druga luka w ekosystemie Claude w ciągu tygodnia. 14 lipca 2026 roku Tego ujawniło, że integracja Claude Tag ze Slackiem może być aktywowana przez zwykły tekst @Claude w dowolnej wiadomości, potencjalnie umożliwiając nieautoryzowane działania w przedsiębiorstwie .

Poza pracami Tego AI, Claude Code zgromadził co najmniej 28 luk CVE w ciągu około roku swojego istnienia, w tym:

• Dwie krytyczne ucieczki z piaskownicy o wskaźniku CVSS 10.0: CVE-2026-39861 (ucieczka przez dowiązanie symboliczne) i CVE-2026-25725 (ominaięcie piaskownicy przez settings.json)
• CVE-2026-46406 (czerwiec 2026): komenda /copy zapisywała odpowiedzi do zakodowanej na stałe, ogólnodostępnej ścieżki /tmp/claude/response.md, umożliwiając odczyt sekretów każdemu użytkownikowi lokalnemu
• Badania Check Point (luty 2026): krytyczne luki (CVE-2025-59536, CVE-2026-21852) umożliwiające zdalne wykonanie kodu i kradzież kluczy API poprzez złośliwe pliki konfiguracyjne na poziomie repozytorium

Badania międzybranżowe pokazują, że nie jest to problem wyłącznie Anthropica:

• GhostApproval (Wiz, lipiec 2026): Luki związane z dowiązaniami symbolicznymi w sześciu asystentach AI dla programistów (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) pozwalały złośliwemu repozytorium na zapis do wrażliwego pliku, podczas gdy użytkownik zatwierdzał zapis do nieszkodliwego
• SymJack (Adversa AI, maj 2026): Pojedynczy atak przez porwanie dowiązania symbolicznego osiągający zdalne wykonanie kodu w sześciu produktach (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Użytkownik zatwierdza kopiowanie pliku; jądro zapisuje gdzie indziej
• TrustFall (Adversa AI, maj 2026): Serwery MCP zdefiniowane w repozytorium wykonują się automatycznie po zaakceptowaniu przez użytkownika monitu o zaufanie do folderu

Podstawowe napięcie architektoniczne jest spójne w całej branży: agenci AI do kodowania potrzebują szerokiego dostępu do systemu plików, powłoki i sieci, aby być użytecznymi — ale ten podniesiony dostęp to te same uprawnienia, których potrzebuje atakujący. Każda ucieczka z piaskownicy, przejście ścieżki i ominięcie okna zaufania wynika z tego samego wyzwania . Powierzchnia ataku nie maleje; nowe funkcje dodają nowe wektory szybciej, niż łatane są istniejące.