Уязвимость в Claude Code: как файл CLAUDE.md может незаметно украсть ваши данные
24 июля 2026 года Tego AI раскрыла уязвимость в Anthropic Claude Code: файл CLAUDE.md с директивой @import, указывающей на символьную ссылку внутри репозитория, позволяет незаметно читать файлы за пределами проекта и... Атака использует несоответствие проверки: Claude Code проверяет лексический путь (внутри проекта)...
ОпубликовалОтредактировано с помощью DeepSeek-V4-FlashИзображения созданы с помощью GPT Image 1.5
24 июля 2026 года Tego AI раскрыла уязвимость в Anthropic Claude Code: файл CLAUDE.md с директивой @import, указывающей на символьную ссылку внутри репозитория, позволяет незаметно читать файлы за пределами проекта и...
Атака использует несоответствие проверки: Claude Code проверяет лексический путь (внутри проекта), но при чтении переходит по символьной ссылке за его пределы — без диалога одобрения и видимого вызова инструмента.
Anthropic закрыл отчёт как «информационный», аргументируя это тем, что диалог «доверять этой папке» уже покрывает риск; однако тот же шаблон ошибки с символьными ссылками ранее дважды исправлялся в подсистеме разрешен...
Tego AI — вторая уязвимость в экосистеме Claude за неделю. Claude Code накопил не менее 28 CVE за год, включая два критических побега из песочницы с оценкой CVSS 10.0 и утечку секретов через жёстко заданный временный...
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
24 июля 2026 года компания Tego AI раскрыла уязвимость в инструменте Claude Code от Anthropic, которая позволяет злонамеренному репозиторию незаметно похищать файлы с компьютера разработчика. Атака использует несоответствие происхождения (provenance mismatch) в том, как Claude Code обрабатывает символические ссылки (symlinks) в файле проектных инструкций CLAUDE.md. Когда разработчик клонирует репозиторий и запускает Claude Code, символьная ссылка внутри репозитория может заставить инструмент читать файлы за пределами проекта и включать их содержимое в первый же запрос к модели — без предупреждения, диалога одобрения и видимого вызова инструмента .
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «Уязвимость в Claude Code: как файл CLAUDE.md может незаметно украсть ваши данные»?
24 июля 2026 года Tego AI раскрыла уязвимость в Anthropic Claude Code: файл CLAUDE.md с директивой @import, указывающей на символьную ссылку внутри репозитория, позволяет незаметно читать файлы за пределами проекта и...
Какие ключевые моменты необходимо проверить в первую очередь?
24 июля 2026 года Tego AI раскрыла уязвимость в Anthropic Claude Code: файл CLAUDE.md с директивой @import, указывающей на символьную ссылку внутри репозитория, позволяет незаметно читать файлы за пределами проекта и... Атака использует несоответствие проверки: Claude Code проверяет лексический путь (внутри проекта), но при чтении переходит по символьной ссылке за его пределы — без диалога одобрения и видимого вызова инструмента.
Что мне делать дальше на практике?
Anthropic закрыл отчёт как «информационный», аргументируя это тем, что диалог «доверять этой папке» уже покрывает риск; однако тот же шаблон ошибки с символьными ссылками ранее дважды исправлялся в подсистеме разрешен...
Уязвимость в Claude Code: как файл CLAUDE.md может незаметно украсть ваши данные
24 июля 2026 года Tego AI раскрыла уязвимость в Anthropic Claude Code: файл CLAUDE.md с директивой @import, указывающей на символьную ссылку внутри репозитория, позволяет незаметно читать файлы за пределами проекта и... Атака использует несоответствие проверки: Claude Code проверяет лексический путь (внутри проекта)...
ОпубликовалОтредактировано с помощью DeepSeek-V4-FlashИзображения созданы с помощью GPT Image 1.5
24 июля 2026 года Tego AI раскрыла уязвимость в Anthropic Claude Code: файл CLAUDE.md с директивой @import, указывающей на символьную ссылку внутри репозитория, позволяет незаметно читать файлы за пределами проекта и...
Атака использует несоответствие проверки: Claude Code проверяет лексический путь (внутри проекта), но при чтении переходит по символьной ссылке за его пределы — без диалога одобрения и видимого вызова инструмента.
Anthropic закрыл отчёт как «информационный», аргументируя это тем, что диалог «доверять этой папке» уже покрывает риск; однако тот же шаблон ошибки с символьными ссылками ранее дважды исправлялся в подсистеме разрешен...
Tego AI — вторая уязвимость в экосистеме Claude за неделю. Claude Code накопил не менее 28 CVE за год, включая два критических побега из песочницы с оценкой CVSS 10.0 и утечку секретов через жёстко заданный временный...
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
24 июля 2026 года компания Tego AI раскрыла уязвимость в инструменте Claude Code от Anthropic, которая позволяет злонамеренному репозиторию незаметно похищать файлы с компьютера разработчика. Атака использует несоответствие происхождения (provenance mismatch) в том, как Claude Code обрабатывает символические ссылки (symlinks) в файле проектных инструкций CLAUDE.md. Когда разработчик клонирует репозиторий и запускает Claude Code, символьная ссылка внутри репозитория может заставить инструмент читать файлы за пределами проекта и включать их содержимое в первый же запрос к модели — без предупреждения, диалога одобрения и видимого вызова инструмента .
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «Уязвимость в Claude Code: как файл CLAUDE.md может незаметно украсть ваши данные»?
24 июля 2026 года Tego AI раскрыла уязвимость в Anthropic Claude Code: файл CLAUDE.md с директивой @import, указывающей на символьную ссылку внутри репозитория, позволяет незаметно читать файлы за пределами проекта и...
Какие ключевые моменты необходимо проверить в первую очередь?
24 июля 2026 года Tego AI раскрыла уязвимость в Anthropic Claude Code: файл CLAUDE.md с директивой @import, указывающей на символьную ссылку внутри репозитория, позволяет незаметно читать файлы за пределами проекта и... Атака использует несоответствие проверки: Claude Code проверяет лексический путь (внутри проекта), но при чтении переходит по символьной ссылке за его пределы — без диалога одобрения и видимого вызова инструмента.
Что мне делать дальше на практике?
Anthropic закрыл отчёт как «информационный», аргументируя это тем, что диалог «доверять этой папке» уже покрывает риск; однако тот же шаблон ошибки с символьными ссылками ранее дважды исправлялся в подсистеме разрешен...
Уязвимость основана на простом, но критическом упущении в загрузчике памяти Claude Code:
Злонамеренный репозиторий содержит обычный на вид файл CLAUDE.md с директивой @import, указывающей на файл внутри репозитория — например, @./link.
Этот файл представляет собой символическую ссылку, хранящуюся в Git (режим 120000), которая указывает на цель за пределами репозитория — такую как /etc/passwd или ../../../../home/user/.ssh/id_rsa. Git сохраняет символьные ссылки при клонировании .
Когда разработчик клонирует репозиторий и запускает Claude Code, загрузчик памяти читает CLAUDE.md и находит импорт @./link. Он проверяет, находится ли лексический путь (./link) внутри проекта — да, — поэтому импорт классифицируется как «внутренний», и диалог одобрения внешнего импорта не появляется .
Затем загрузчик переходит по символьной ссылке к фактическому целевому файлу за пределами проекта, читает его содержимое и помещает его в начальный контекст модели .
Содержимое покидает машину в первом же исходящем запросе к API Anthropic — до того, как модель совершила какое-либо действие, и без видимого вызова инструмента. Пользователь не видит никакого предупреждения .
Опционально, отдельно известная настройка ANTHROPIC_BASE_URL в репозитории может перенаправить исходящую конечную точку на сервер, контролируемый атакующим, завершая эксфильтрацию .
Новизна находки заключается не в том, что Claude Code переходит по символьным ссылкам — это документированное и намеренное поведение. Новизна заключается в обходе согласия: проверка внешнего импорта выполняется по неразрешённому пути, чтение — по разрешённому, а загрузчик памяти так и не получил исправление разрешения символьных ссылок, которое было применено к подсистеме разрешений Claude Code в двух предыдущих CVE .
Реакция Anthropic
Tego AI сообщила о проблеме через HackerOne в июле 2026 года. Anthropic закрыл отчёт как «информационный» (Informative) — то есть не рассматривал его как уязвимость безопасности в рамках своей текущей модели угроз .
Обоснование Anthropic: в модели угроз Claude Code диалог «доверять этой папке» является границей безопасности. Принятие этого диалога уже предоставляет проекту широкий доступ на чтение, редактирование и выполнение. Tego AI не оспаривает, что Anthropic последовательно применяет эту модель, но утверждает, что находка всё равно важна, поскольку данные покидают машину автоматически, незаметно и без ведома пользователя .
Примечательно, что тот же шаблон ошибки — несоответствие символьной ссылки и проверки безопасности — ранее дважды исправлялся в подсистеме разрешений Claude Code:
CVE-2025-59829 (исправлено в сентябре 2025 года): обход правил запрета через символьные ссылки в разрешениях файлов
CVE-2026-25724 (исправлено в январе 2026 года): тот же шаблон, обход правил запрета через символьные ссылки
Оба предыдущих исправления разрешали символьную ссылку перед проверкой разрешений — но это исправление никогда не было применено к пути кода загрузчика памяти .
Более широкая картина: экосистема Claude и безопасность AI-инструментов кодирования
Раскрытие Tego AI — это вторая уязвимость экосистемы Claude за неделю. 14 июля 2026 года Tego сообщила, что интеграция Claude Tag со Slack может быть активирована простым текстом @Claude в любом сообщении, что потенциально позволяет совершать несанкционированные действия на уровне предприятия .
Помимо работы Tego, Claude Code накопил как минимум 28 CVE примерно за год существования, включая:
Два критических побега из песочницы с оценкой CVSS 10.0: CVE-2026-39861 (побег из песочницы через символьную ссылку) и CVE-2026-25725 (обход песочницы через settings.json)
CVE-2026-46406 (июнь 2026 года): команда /copy записывала ответы в жёстко заданный общедоступный временный путь /tmp/claude/response.md, позволяя любому локальному пользователю читать секреты
Исследование Check Point (февраль 2026 года): критические уязвимости (CVE-2025-59536, CVE-2026-21852), позволяющие удалённое выполнение кода и кражу ключей API через злонамеренные файлы конфигурации на уровне репозитория
Межотраслевые исследования показывают, что это не уникальная проблема Anthropic:
GhostApproval (Wiz, июль 2026 года): Уязвимости символьных ссылок в шести AI-ассистентах кодирования (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) позволяют репозиторию-ловушке заставить инструмент записывать в конфиденциальный файл, в то время как пользователь одобряет запись в безвредный
SymJack (Adversa AI, май 2026 года): Атака с перехватом символьной ссылки, достигающая удалённого выполнения кода в шести продуктах (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Пользователь одобряет копирование файла; ядро записывает в другое место
TrustFall (Adversa AI, май 2026 года): MCP-серверы, определённые в репозитории, выполняются автоматически после того, как пользователь принимает запрос на доверие к папке
Лежащее в основе архитектурное противоречие является общим для всей индустрии: AI-агентам кодирования требуется широкий доступ к файловой системе, оболочке и сети, чтобы быть полезными — но эти же повышенные привилегии нужны атакующему. Каждый побег из песочницы, обход пути и обход диалога доверия проистекают из этой одной и той же проблемы . Поверхность атаки не сокращается; новые функции добавляют новые векторы быстрее, чем исправляются существующие.
Уязвимость основана на простом, но критическом упущении в загрузчике памяти Claude Code:
Злонамеренный репозиторий содержит обычный на вид файл CLAUDE.md с директивой @import, указывающей на файл внутри репозитория — например, @./link.
Этот файл представляет собой символическую ссылку, хранящуюся в Git (режим 120000), которая указывает на цель за пределами репозитория — такую как /etc/passwd или ../../../../home/user/.ssh/id_rsa. Git сохраняет символьные ссылки при клонировании .
Когда разработчик клонирует репозиторий и запускает Claude Code, загрузчик памяти читает CLAUDE.md и находит импорт @./link. Он проверяет, находится ли лексический путь (./link) внутри проекта — да, — поэтому импорт классифицируется как «внутренний», и диалог одобрения внешнего импорта не появляется .
Затем загрузчик переходит по символьной ссылке к фактическому целевому файлу за пределами проекта, читает его содержимое и помещает его в начальный контекст модели .
Содержимое покидает машину в первом же исходящем запросе к API Anthropic — до того, как модель совершила какое-либо действие, и без видимого вызова инструмента. Пользователь не видит никакого предупреждения .
Опционально, отдельно известная настройка ANTHROPIC_BASE_URL в репозитории может перенаправить исходящую конечную точку на сервер, контролируемый атакующим, завершая эксфильтрацию .
Новизна находки заключается не в том, что Claude Code переходит по символьным ссылкам — это документированное и намеренное поведение. Новизна заключается в обходе согласия: проверка внешнего импорта выполняется по неразрешённому пути, чтение — по разрешённому, а загрузчик памяти так и не получил исправление разрешения символьных ссылок, которое было применено к подсистеме разрешений Claude Code в двух предыдущих CVE .
Реакция Anthropic
Tego AI сообщила о проблеме через HackerOne в июле 2026 года. Anthropic закрыл отчёт как «информационный» (Informative) — то есть не рассматривал его как уязвимость безопасности в рамках своей текущей модели угроз .
Обоснование Anthropic: в модели угроз Claude Code диалог «доверять этой папке» является границей безопасности. Принятие этого диалога уже предоставляет проекту широкий доступ на чтение, редактирование и выполнение. Tego AI не оспаривает, что Anthropic последовательно применяет эту модель, но утверждает, что находка всё равно важна, поскольку данные покидают машину автоматически, незаметно и без ведома пользователя .
Примечательно, что тот же шаблон ошибки — несоответствие символьной ссылки и проверки безопасности — ранее дважды исправлялся в подсистеме разрешений Claude Code:
CVE-2025-59829 (исправлено в сентябре 2025 года): обход правил запрета через символьные ссылки в разрешениях файлов
CVE-2026-25724 (исправлено в январе 2026 года): тот же шаблон, обход правил запрета через символьные ссылки
Оба предыдущих исправления разрешали символьную ссылку перед проверкой разрешений — но это исправление никогда не было применено к пути кода загрузчика памяти .
Более широкая картина: экосистема Claude и безопасность AI-инструментов кодирования
Раскрытие Tego AI — это вторая уязвимость экосистемы Claude за неделю. 14 июля 2026 года Tego сообщила, что интеграция Claude Tag со Slack может быть активирована простым текстом @Claude в любом сообщении, что потенциально позволяет совершать несанкционированные действия на уровне предприятия .
Помимо работы Tego, Claude Code накопил как минимум 28 CVE примерно за год существования, включая:
Два критических побега из песочницы с оценкой CVSS 10.0: CVE-2026-39861 (побег из песочницы через символьную ссылку) и CVE-2026-25725 (обход песочницы через settings.json)
CVE-2026-46406 (июнь 2026 года): команда /copy записывала ответы в жёстко заданный общедоступный временный путь /tmp/claude/response.md, позволяя любому локальному пользователю читать секреты
Исследование Check Point (февраль 2026 года): критические уязвимости (CVE-2025-59536, CVE-2026-21852), позволяющие удалённое выполнение кода и кражу ключей API через злонамеренные файлы конфигурации на уровне репозитория
Межотраслевые исследования показывают, что это не уникальная проблема Anthropic:
GhostApproval (Wiz, июль 2026 года): Уязвимости символьных ссылок в шести AI-ассистентах кодирования (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) позволяют репозиторию-ловушке заставить инструмент записывать в конфиденциальный файл, в то время как пользователь одобряет запись в безвредный
SymJack (Adversa AI, май 2026 года): Атака с перехватом символьной ссылки, достигающая удалённого выполнения кода в шести продуктах (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Пользователь одобряет копирование файла; ядро записывает в другое место
TrustFall (Adversa AI, май 2026 года): MCP-серверы, определённые в репозитории, выполняются автоматически после того, как пользователь принимает запрос на доверие к папке
Лежащее в основе архитектурное противоречие является общим для всей индустрии: AI-агентам кодирования требуется широкий доступ к файловой системе, оболочке и сети, чтобы быть полезными — но эти же повышенные привилегии нужны атакующему. Каждый побег из песочницы, обход пути и обход диалога доверия проистекают из этой одной и той же проблемы . Поверхность атаки не сокращается; новые функции добавляют новые векторы быстрее, чем исправляются существующие.
