Уязвимость в Claude Code: как файл CLAUDE.md может незаметно украсть ваши данные

Как работает атака

Уязвимость основана на простом, но критическом упущении в загрузчике памяти Claude Code:

1. Злонамеренный репозиторий содержит обычный на вид файл CLAUDE.md с директивой @import, указывающей на файл внутри репозитория — например, @./link .
2. Этот файл представляет собой символическую ссылку, хранящуюся в Git (режим 120000), которая указывает на цель за пределами репозитория — такую как /etc/passwd или ../../../../home/user/.ssh/id_rsa. Git сохраняет символьные ссылки при клонировании .
3. Когда разработчик клонирует репозиторий и запускает Claude Code, загрузчик памяти читает CLAUDE.md и находит импорт @./link. Он проверяет, находится ли лексический путь (./link) внутри проекта — да, — поэтому импорт классифицируется как «внутренний», и диалог одобрения внешнего импорта не появляется .
4. Затем загрузчик переходит по символьной ссылке к фактическому целевому файлу за пределами проекта, читает его содержимое и помещает его в начальный контекст модели .
5. Содержимое покидает машину в первом же исходящем запросе к API Anthropic — до того, как модель совершила какое-либо действие, и без видимого вызова инструмента. Пользователь не видит никакого предупреждения .
6. Опционально, отдельно известная настройка ANTHROPIC_BASE_URL в репозитории может перенаправить исходящую конечную точку на сервер, контролируемый атакующим, завершая эксфильтрацию .

Новизна находки заключается не в том, что Claude Code переходит по символьным ссылкам — это документированное и намеренное поведение. Новизна заключается в обходе согласия: проверка внешнего импорта выполняется по неразрешённому пути, чтение — по разрешённому, а загрузчик памяти так и не получил исправление разрешения символьных ссылок, которое было применено к подсистеме разрешений Claude Code в двух предыдущих CVE .

Реакция Anthropic

Tego AI сообщила о проблеме через HackerOne в июле 2026 года. Anthropic закрыл отчёт как «информационный» (Informative) — то есть не рассматривал его как уязвимость безопасности в рамках своей текущей модели угроз .

Обоснование Anthropic: в модели угроз Claude Code диалог «доверять этой папке» является границей безопасности. Принятие этого диалога уже предоставляет проекту широкий доступ на чтение, редактирование и выполнение. Tego AI не оспаривает, что Anthropic последовательно применяет эту модель, но утверждает, что находка всё равно важна, поскольку данные покидают машину автоматически, незаметно и без ведома пользователя .

Примечательно, что тот же шаблон ошибки — несоответствие символьной ссылки и проверки безопасности — ранее дважды исправлялся в подсистеме разрешений Claude Code:

• CVE-2025-59829 (исправлено в сентябре 2025 года): обход правил запрета через символьные ссылки в разрешениях файлов
• CVE-2026-25724 (исправлено в январе 2026 года): тот же шаблон, обход правил запрета через символьные ссылки

Оба предыдущих исправления разрешали символьную ссылку перед проверкой разрешений — но это исправление никогда не было применено к пути кода загрузчика памяти .

Более широкая картина: экосистема Claude и безопасность AI-инструментов кодирования

Раскрытие Tego AI — это вторая уязвимость экосистемы Claude за неделю. 14 июля 2026 года Tego сообщила, что интеграция Claude Tag со Slack может быть активирована простым текстом @Claude в любом сообщении, что потенциально позволяет совершать несанкционированные действия на уровне предприятия .

Помимо работы Tego, Claude Code накопил как минимум 28 CVE примерно за год существования, включая:

• Два критических побега из песочницы с оценкой CVSS 10.0: CVE-2026-39861 (побег из песочницы через символьную ссылку) и CVE-2026-25725 (обход песочницы через settings.json)
• CVE-2026-46406 (июнь 2026 года): команда /copy записывала ответы в жёстко заданный общедоступный временный путь /tmp/claude/response.md, позволяя любому локальному пользователю читать секреты
• Исследование Check Point (февраль 2026 года): критические уязвимости (CVE-2025-59536, CVE-2026-21852), позволяющие удалённое выполнение кода и кражу ключей API через злонамеренные файлы конфигурации на уровне репозитория

Межотраслевые исследования показывают, что это не уникальная проблема Anthropic:

• GhostApproval (Wiz, июль 2026 года): Уязвимости символьных ссылок в шести AI-ассистентах кодирования (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) позволяют репозиторию-ловушке заставить инструмент записывать в конфиденциальный файл, в то время как пользователь одобряет запись в безвредный
• SymJack (Adversa AI, май 2026 года): Атака с перехватом символьной ссылки, достигающая удалённого выполнения кода в шести продуктах (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Пользователь одобряет копирование файла; ядро записывает в другое место
• TrustFall (Adversa AI, май 2026 года): MCP-серверы, определённые в репозитории, выполняются автоматически после того, как пользователь принимает запрос на доверие к папке

Лежащее в основе архитектурное противоречие является общим для всей индустрии: AI-агентам кодирования требуется широкий доступ к файловой системе, оболочке и сети, чтобы быть полезными — но эти же повышенные привилегии нужны атакующему. Каждый побег из песочницы, обход пути и обход диалога доверия проистекают из этой одной и той же проблемы . Поверхность атаки не сокращается; новые функции добавляют новые векторы быстрее, чем исправляются существующие.