Claude Code-sårbarhet: Så kan en CLAUDE.md-fil tyst stjäla dina data

Hur attacken fungerar

Sårbarheten bygger på en ursprungsskillnad i hur Claude Code hanterar symboliska länkar i sin minnesladdare:

1. Ett illasinnat repository innehåller en vanlig CLAUDE.md-fil med en @import-direktiv som pekar på en fil i repot — till exempel @./link .
2. Den filen är en Git-lagrad symbolisk länk (läge 120000 i Git) som pekar på en fil utanför repot, till exempel /etc/passwd eller ../../../../home/user/.ssh/id_rsa. Git bevarar symboliska länkar vid kloning .
3. När en utvecklare klonar repot och startar Claude Code läser minnesladdaren CLAUDE.md och stöter på @./link-importen. Den kontrollerar om den lexikala sökvägen (./link) ligger inom projektet — det gör den — så importen klassificeras som ”intern” och ingen extern import-dialog visas .
4. Minnesladdaren följer sedan den symboliska länken till målfilsökvägen utanför projektet, läser innehållet och placerar det i modellens första kontextfönster .
5. Innehållet lämnar datorn i den första utgående API-förfrågan till Anthropics API — innan modellen har vidtagit någon åtgärd och utan något synligt verktygsanrop. Användaren ser ingen varning .
6. Alternativt kan en separat känd ANTHROPIC_BASE_URL-inställning i repot omdirigera den utgående slutpunkten till en server som angriparen kontrollerar, vilket fullbordar exfiltreringen .

Det nya fyndet är inte att Claude Code följer symboliska länkar — det är dokumenterat och avsiktligt. Det nya fyndet är kringgåendet av godkännande: kontrollen av extern import körs mot den ofullständiga sökvägen, läsningen sker mot den fullständiga, och minnesladdaren har aldrig fått den symboliska länkfix som tillämpades på Claude Codes behörighetssystem i två tidigare CVE:er .

Anthropics svar

Tego AI rapporterade problemet via HackerOne i juli 2026. Anthropic stängde rapporten som ”Informativ” — vilket innebär att de inte behandlade den som en säkerhetssårbarhet enligt sin nuvarande hotmodell .

Anthropics motivering: enligt Claude Codes hotmodell är dialogrutan ”lita på den här mappen” säkerhetsgränsen. Att acceptera den dialogen ger redan projektet bred läs-, redigerings- och exekveringsåtkomst. Tego AI bestrider inte att Anthropic konsekvent tillämpar denna modell, men menar att fyndet fortfarande är viktigt eftersom data lämnar datorn automatiskt, tyst och utan användarens vetskap .

Noterbart är att samma mönster med symbolisk länk och säkerhetskontroll har åtgärdats två gånger tidigare i Claude Codes behörighetssystem:

• CVE-2025-59829 (åtgärdad september 2025): kringgående av nekande regler via symbolisk länk i filbehörigheter
• CVE-2026-25724 (åtgärdad januari 2026): samma mönster igen, kringgående av nekande regler via symboliska länkar

Båda tidigare fixarna löste den symboliska länken innan behörigheter kontrollerades — men den fixen tillämpades aldrig på minnesladdarens kodväg .

Bredare mönster: Claude-ekosystem och säkerhet för AI-kodningsverktyg

Tego AIs avslöjande är den andra Claude-ekosystembristen på en vecka. Den 14 juli 2026 avslöjade Tego att Claude Tags Slack-integration kunde triggas av vanlig @Claude-text i alla meddelanden, vilket potentiellt möjliggör obehöriga företagsåtgärder .

Utöver Tegos arbete har Claude Code samlat på sig minst 28 CVEs på ungefär ett år, inklusive:

• Twe CVSS 10.0 kritiska sandlådeflykter: CVE-2026-39861 (sandlådeflykt via symbolisk länk) och CVE-2026-25725 (sandlådekringgående via settings.json)
• CVE-2026-46406 (juni 2026): kommandot /copy skrev svar till en hårdkodad, världsläsbar temp-sökväg /tmp/claude/response.md, vilket lät alla lokala användare läsa hemligheter
• Check Point Research (februari 2026): kritiska brister (CVE-2025-59536, CVE-2026-21852) som möjliggjorde fjärrexekvering av kod och stöld av API-nycklar via illasinnade konfigurationsfiler på repo-nivå

Branschövergripande forskning visar att detta inte är unikt för Anthropic:

• GhostApproval (Wiz, juli 2026): Symboliska länkfel i sex AI-kodningsassistenter (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) lät ett fientligt repo få verktyget att skriva till en känslig fil medan användaren godkänner att skriva till en ofarlig
• SymJack (Adversa AI, maj 2026): En enda symlink-kapningsattack som uppnår fjärrkörning av kod i sex produkter (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Användaren godkänner en filkopiering; kärnan skriver någon annanstans
• TrustFall (Adversa AI, maj 2026): Repo-definierade MCP-servrar körs automatiskt när användaren accepterar mapp-förtroendefrågan

Den underliggande arkitektoniska spänningen är konsekvent över hela branschen: AI-kodningsagenter behöver bred åtkomst till filsystem, skal och nätverk för att vara användbara — men den utökade åtkomsten är samma privilegium som en angripare behöver. Varje sandlådeflykt, sökvägstraversering och förtroendedialog-kringgående härrör från samma utmaning . Angreppsytan krymper inte; nya funktioner lägger till nya vektorer snabbare än befintliga patchar.