Como o ataque funciona

A vulnerabilidade explora uma incompatibilidade de proveniência na forma como o Claude Code processa arquivos de instrução. O ataque segue estes passos:

1. Um repositório malicioso contém um arquivo CLAUDE.md com aparência normal, mas com uma diretiva @import apontando para um arquivo dentro do repositório — por exemplo, @./link .
2. Esse arquivo (link) é, na verdade, um link simbólico (armazenado no Git) que aponta para um arquivo fora do repositório, como /etc/passwd ou ../../../../home/usuario/.ssh/id_rsa. O Git preserva symlinks durante a clonagem .
3. Quando o desenvolvedor clona o repositório e inicia o Claude Code, o carregador de memória lê o CLAUDE.md e encontra a importação @./link. Ele verifica se o caminho lexical (./link) está dentro do projeto — e está —, então a importação é classificada como "interna" e nenhum diálogo de aprovação é exibido .
4. O carregador então segue o symlink para o arquivo de destino fora do projeto, lê seu conteúdo e o coloca no contexto inicial do modelo de IA .
5. O conteúdo sai da máquina na primeira requisição enviada para a API da Anthropic — antes que o modelo tome qualquer ação e sem que nenhuma chamada de ferramenta seja visível ao usuário .
6. Opcionalmente, uma configuração conhecida como ANTHROPIC_BASE_URL no repositório pode redirecionar a requisição para um servidor controlado pelo atacante, completando a exfiltração .

O ponto crucial da descoberta não é que o Claude Code segue symlinks — isso é documentado e intencional. A novidade é a burla do consentimento: a verificação de importação externa é feita no caminho não resolvido, a leitura opera no caminho resolvido, e o carregador de memória nunca recebeu a correção de resolução de symlink que foi aplicada em duas vulnerabilidades anteriores .

A resposta da Anthropic

A Tego AI reportou o problema através do HackerOne em julho de 2026. A Anthropic fechou o relatório como "Informativo" — ou seja, não o tratou como uma vulnerabilidade de segurança dentro do seu modelo de ameaças atual .

A justificativa da Anthropic: em seu modelo, o diálogo "confiar nesta pasta" é a fronteira de segurança. Aceitar esse diálogo já concede ao projeto amplo acesso de leitura, edição e execução. A Tego AI não contesta que a Anthropic aplica esse modelo de forma consistente, mas argumenta que a descoberta ainda é relevante porque os dados saem da máquina de forma automática, silenciosa e sem o conhecimento do usuário .

Vale notar que o mesmo padrão de falha — verificar o symlink vs. a regra de segurança — já havia sido corrigido duas vezes antes no subsistema de permissões do Claude Code:

• CVE-2025-59829 (corrigido em setembro de 2025): bypass de regras de negação via symlink em permissões de arquivos
• CVE-2026-25724 (corrigido em janeiro de 2026): o mesmo padrão novamente, bypass de regras de negação via symlinks

Ambas as correções anteriores resolviam o symlink antes de verificar as permissões — mas essa correção nunca foi aplicada ao caminho do carregador de memória .

Um padrão mais amplo: falhas no ecossistema Claude e segurança de ferramentas de IA

A divulgação da Tego AI é a segunda falha no ecossistema Claude em uma semana. Em 14 de julho de 2026, a Tego revelou que a integração do Claude Tag com o Slack poderia ser acionada pelo texto simples @Claude em qualquer mensagem, potencialmente permitindo ações empresariais não autorizadas .

Além do trabalho da Tego, o Claude Code acumulou pelo menos 28 CVEs em aproximadamente um ano de existência, incluindo:

• Duas falhas críticas de escape de sandbox (CVSS 10.0): CVE-2026-39861 (escape de sandbox via symlink) e CVE-2026-25725 (bypass de sandbox via settings.json)
• CVE-2026-46406 (junho de 2026): o comando /copy gravava respostas em um caminho temporário de leitura mundial /tmp/claude/response.md, permitindo que qualquer usuário local lesse segredos
• Pesquisa da Check Point (fevereiro de 2026): falhas críticas (CVE-2025-59536, CVE-2026-21852) que permitiam execução remota de código e roubo de chaves de API através de arquivos de configuração maliciosos no repositório

Pesquisas em toda a indústria mostram que isso não é exclusivo da Anthropic:

• GhostApproval (Wiz, julho de 2026): Falhas de symlink em seis assistentes de codificação com IA (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) permitiam que um repositório malicioso fizesse a ferramenta escrever em um arquivo sensível enquanto o usuário aprovava a escrita em um inofensivo
• SymJack (Adversa AI, maio de 2026): Um único ataque de sequestro de symlink que alcançava execução remota de código em seis produtos (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). O usuário aprova uma cópia de arquivo; o kernel escreve em outro lugar
• TrustFall (Adversa AI, maio de 2026): Servidores MCP definidos pelo repositório são executados automaticamente assim que o usuário aceita o prompt de confiança na pasta

A tensão arquitetural subjacente é consistente em toda a indústria: agentes de codificação com IA precisam de amplo acesso ao sistema de arquivos, shell e rede para serem úteis — mas esse acesso elevado é o mesmo privilégio que um atacante precisa. Cada escape de sandbox, path traversal e bypass de diálogo de confiança decorre desse mesmo desafio . A superfície de ataque não está diminuindo; novos recursos adicionam novos vetores mais rápido do que os existentes são corrigidos.

Conclusão

A vulnerabilidade no Claude Code, divulgada pela Tego AI, expõe uma falha crítica de segurança que pode passar despercebida por desenvolvedores desatentos. Embora a Anthropic não a considere uma vulnerabilidade, o fato de dados confidenciais poderem ser extraídos silenciosamente ressalta a importância de uma postura de segurança proativa ao usar ferramentas de IA. A comunidade de segurança continua a descobrir e relatar esses problemas, destacando a necessidade de uma colaboração contínua entre pesquisadores e empresas para garantir a segurança dos usuários.

Como o ataque funciona

A vulnerabilidade explora uma incompatibilidade de proveniência na forma como o Claude Code processa arquivos de instrução. O ataque segue estes passos:

1. Um repositório malicioso contém um arquivo CLAUDE.md com aparência normal, mas com uma diretiva @import apontando para um arquivo dentro do repositório — por exemplo, @./link .
2. Esse arquivo (link) é, na verdade, um link simbólico (armazenado no Git) que aponta para um arquivo fora do repositório, como /etc/passwd ou ../../../../home/usuario/.ssh/id_rsa. O Git preserva symlinks durante a clonagem .
3. Quando o desenvolvedor clona o repositório e inicia o Claude Code, o carregador de memória lê o CLAUDE.md e encontra a importação @./link. Ele verifica se o caminho lexical (./link) está dentro do projeto — e está —, então a importação é classificada como "interna" e nenhum diálogo de aprovação é exibido .
4. O carregador então segue o symlink para o arquivo de destino fora do projeto, lê seu conteúdo e o coloca no contexto inicial do modelo de IA .
5. O conteúdo sai da máquina na primeira requisição enviada para a API da Anthropic — antes que o modelo tome qualquer ação e sem que nenhuma chamada de ferramenta seja visível ao usuário .
6. Opcionalmente, uma configuração conhecida como ANTHROPIC_BASE_URL no repositório pode redirecionar a requisição para um servidor controlado pelo atacante, completando a exfiltração .

O ponto crucial da descoberta não é que o Claude Code segue symlinks — isso é documentado e intencional. A novidade é a burla do consentimento: a verificação de importação externa é feita no caminho não resolvido, a leitura opera no caminho resolvido, e o carregador de memória nunca recebeu a correção de resolução de symlink que foi aplicada em duas vulnerabilidades anteriores .

A resposta da Anthropic

A Tego AI reportou o problema através do HackerOne em julho de 2026. A Anthropic fechou o relatório como "Informativo" — ou seja, não o tratou como uma vulnerabilidade de segurança dentro do seu modelo de ameaças atual .

A justificativa da Anthropic: em seu modelo, o diálogo "confiar nesta pasta" é a fronteira de segurança. Aceitar esse diálogo já concede ao projeto amplo acesso de leitura, edição e execução. A Tego AI não contesta que a Anthropic aplica esse modelo de forma consistente, mas argumenta que a descoberta ainda é relevante porque os dados saem da máquina de forma automática, silenciosa e sem o conhecimento do usuário .

Vale notar que o mesmo padrão de falha — verificar o symlink vs. a regra de segurança — já havia sido corrigido duas vezes antes no subsistema de permissões do Claude Code:

• CVE-2025-59829 (corrigido em setembro de 2025): bypass de regras de negação via symlink em permissões de arquivos
• CVE-2026-25724 (corrigido em janeiro de 2026): o mesmo padrão novamente, bypass de regras de negação via symlinks

Ambas as correções anteriores resolviam o symlink antes de verificar as permissões — mas essa correção nunca foi aplicada ao caminho do carregador de memória .

Um padrão mais amplo: falhas no ecossistema Claude e segurança de ferramentas de IA

A divulgação da Tego AI é a segunda falha no ecossistema Claude em uma semana. Em 14 de julho de 2026, a Tego revelou que a integração do Claude Tag com o Slack poderia ser acionada pelo texto simples @Claude em qualquer mensagem, potencialmente permitindo ações empresariais não autorizadas .

Além do trabalho da Tego, o Claude Code acumulou pelo menos 28 CVEs em aproximadamente um ano de existência, incluindo:

• Duas falhas críticas de escape de sandbox (CVSS 10.0): CVE-2026-39861 (escape de sandbox via symlink) e CVE-2026-25725 (bypass de sandbox via settings.json)
• CVE-2026-46406 (junho de 2026): o comando /copy gravava respostas em um caminho temporário de leitura mundial /tmp/claude/response.md, permitindo que qualquer usuário local lesse segredos
• Pesquisa da Check Point (fevereiro de 2026): falhas críticas (CVE-2025-59536, CVE-2026-21852) que permitiam execução remota de código e roubo de chaves de API através de arquivos de configuração maliciosos no repositório

Pesquisas em toda a indústria mostram que isso não é exclusivo da Anthropic:

• GhostApproval (Wiz, julho de 2026): Falhas de symlink em seis assistentes de codificação com IA (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) permitiam que um repositório malicioso fizesse a ferramenta escrever em um arquivo sensível enquanto o usuário aprovava a escrita em um inofensivo
• SymJack (Adversa AI, maio de 2026): Um único ataque de sequestro de symlink que alcançava execução remota de código em seis produtos (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). O usuário aprova uma cópia de arquivo; o kernel escreve em outro lugar
• TrustFall (Adversa AI, maio de 2026): Servidores MCP definidos pelo repositório são executados automaticamente assim que o usuário aceita o prompt de confiança na pasta

A tensão arquitetural subjacente é consistente em toda a indústria: agentes de codificação com IA precisam de amplo acesso ao sistema de arquivos, shell e rede para serem úteis — mas esse acesso elevado é o mesmo privilégio que um atacante precisa. Cada escape de sandbox, path traversal e bypass de diálogo de confiança decorre desse mesmo desafio . A superfície de ataque não está diminuindo; novos recursos adicionam novos vetores mais rápido do que os existentes são corrigidos.

Conclusão

A vulnerabilidade no Claude Code, divulgada pela Tego AI, expõe uma falha crítica de segurança que pode passar despercebida por desenvolvedores desatentos. Embora a Anthropic não a considere uma vulnerabilidade, o fato de dados confidenciais poderem ser extraídos silenciosamente ressalta a importância de uma postura de segurança proativa ao usar ferramentas de IA. A comunidade de segurança continua a descobrir e relatar esses problemas, destacando a necessidade de uma colaboração contínua entre pesquisadores e empresas para garantir a segurança dos usuários.