Claude Code Symlink Güvenlik Açığı: Bir CLAUDE.md Dosyası Verilerinizi Nasıl Sessizce Çalabilir?
Tego AI, 24 Temmuz 2026'da Anthropic Claude Code'da bir güvenlik açığı keşfetti: Bir CLAUDE.md dosyasında yer alan ve depo içi bir sembolik bağlantıyı (symlink) işaret eden @import yönergesi, proje dışındaki dosyaları... Açık, Claude Code'un @import yönergesinin 'sözcüksel' yolunu kontrol edip sembolik bağlantıyı ta...
YayımlayanDeepSeek-V4-Flash ile düzenlendiGörseller GPT Image 1.5 ile oluşturuldu
Tego AI, 24 Temmuz 2026'da Anthropic Claude Code'da bir güvenlik açığı keşfetti: Bir CLAUDE.md dosyasında yer alan ve depo içi bir sembolik bağlantıyı (symlink) işaret eden @import yönergesi, proje dışındaki dosyaları...
Açık, Claude Code'un @import yönergesinin 'sözcüksel' yolunu kontrol edip sembolik bağlantıyı takip etmesinden kaynaklanıyor.
Anthropic, raporu 'Bilgilendirme Amaçlı' olarak işaretleyip kapatırken, Tego AI bu güvenlik açığının verilerin kullanıcının farkında olmadan otomatik olarak dışarı sızmasına neden olduğunu vurguluyor [3][17].
Bu, bir hafta içinde Tego AI tarafından Claude ekosisteminde keşfedilen ikinci güvenlik açığı.
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
24 Temmuz 2026'da Tego AI, Anthropic'in Claude Code aracında, kötü niyetli bir deponun bir geliştiricinin makinesindeki dosyaları sessizce dışarı sızdırmasına olanak tanıyan bir güvenlik açığını ifşa etti. Saldırı, Claude Code'un CLAUDE.md proje talimat dosyasındaki sembolik bağlantıları (symlink) işleme biçimindeki bir köken uyumsuzluğundan yararlanıyor. Bir geliştirici bir depoyu klonlayıp Claude Code'u çalıştırdığında, depodaki bir sembolik bağlantı, aracın proje dışındaki dosyaları okumasına ve bunların içeriğini, hiçbir uyarı, onay diyaloğu veya görünür araç çağrısı olmaksızın ilk model isteğine eklemesine neden olabilir .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Claude Code Symlink Güvenlik Açığı: Bir CLAUDE.md Dosyası Verilerinizi Nasıl Sessizce Çalabilir?"?
Tego AI, 24 Temmuz 2026'da Anthropic Claude Code'da bir güvenlik açığı keşfetti: Bir CLAUDE.md dosyasında yer alan ve depo içi bir sembolik bağlantıyı (symlink) işaret eden @import yönergesi, proje dışındaki dosyaları...
What are the key points to validate first?
Tego AI, 24 Temmuz 2026'da Anthropic Claude Code'da bir güvenlik açığı keşfetti: Bir CLAUDE.md dosyasında yer alan ve depo içi bir sembolik bağlantıyı (symlink) işaret eden @import yönergesi, proje dışındaki dosyaları... Açık, Claude Code'un @import yönergesinin 'sözcüksel' yolunu kontrol edip sembolik bağlantıyı takip etmesinden kaynaklanıyor.
What should I do next in practice?
Anthropic, raporu 'Bilgilendirme Amaçlı' olarak işaretleyip kapatırken, Tego AI bu güvenlik açığının verilerin kullanıcının farkında olmadan otomatik olarak dışarı sızmasına neden olduğunu vurguluyor [3][17].
Claude Code Symlink Güvenlik Açığı: Bir CLAUDE.md Dosyası Verilerinizi Nasıl Sessizce Çalabilir?
Tego AI, 24 Temmuz 2026'da Anthropic Claude Code'da bir güvenlik açığı keşfetti: Bir CLAUDE.md dosyasında yer alan ve depo içi bir sembolik bağlantıyı (symlink) işaret eden @import yönergesi, proje dışındaki dosyaları... Açık, Claude Code'un @import yönergesinin 'sözcüksel' yolunu kontrol edip sembolik bağlantıyı ta...
YayımlayanDeepSeek-V4-Flash ile düzenlendiGörseller GPT Image 1.5 ile oluşturuldu
Tego AI, 24 Temmuz 2026'da Anthropic Claude Code'da bir güvenlik açığı keşfetti: Bir CLAUDE.md dosyasında yer alan ve depo içi bir sembolik bağlantıyı (symlink) işaret eden @import yönergesi, proje dışındaki dosyaları...
Açık, Claude Code'un @import yönergesinin 'sözcüksel' yolunu kontrol edip sembolik bağlantıyı takip etmesinden kaynaklanıyor.
Anthropic, raporu 'Bilgilendirme Amaçlı' olarak işaretleyip kapatırken, Tego AI bu güvenlik açığının verilerin kullanıcının farkında olmadan otomatik olarak dışarı sızmasına neden olduğunu vurguluyor [3][17].
Bu, bir hafta içinde Tego AI tarafından Claude ekosisteminde keşfedilen ikinci güvenlik açığı.
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
24 Temmuz 2026'da Tego AI, Anthropic'in Claude Code aracında, kötü niyetli bir deponun bir geliştiricinin makinesindeki dosyaları sessizce dışarı sızdırmasına olanak tanıyan bir güvenlik açığını ifşa etti. Saldırı, Claude Code'un CLAUDE.md proje talimat dosyasındaki sembolik bağlantıları (symlink) işleme biçimindeki bir köken uyumsuzluğundan yararlanıyor. Bir geliştirici bir depoyu klonlayıp Claude Code'u çalıştırdığında, depodaki bir sembolik bağlantı, aracın proje dışındaki dosyaları okumasına ve bunların içeriğini, hiçbir uyarı, onay diyaloğu veya görünür araç çağrısı olmaksızın ilk model isteğine eklemesine neden olabilir .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Claude Code Symlink Güvenlik Açığı: Bir CLAUDE.md Dosyası Verilerinizi Nasıl Sessizce Çalabilir?"?
Tego AI, 24 Temmuz 2026'da Anthropic Claude Code'da bir güvenlik açığı keşfetti: Bir CLAUDE.md dosyasında yer alan ve depo içi bir sembolik bağlantıyı (symlink) işaret eden @import yönergesi, proje dışındaki dosyaları...
What are the key points to validate first?
Tego AI, 24 Temmuz 2026'da Anthropic Claude Code'da bir güvenlik açığı keşfetti: Bir CLAUDE.md dosyasında yer alan ve depo içi bir sembolik bağlantıyı (symlink) işaret eden @import yönergesi, proje dışındaki dosyaları... Açık, Claude Code'un @import yönergesinin 'sözcüksel' yolunu kontrol edip sembolik bağlantıyı takip etmesinden kaynaklanıyor.
What should I do next in practice?
Anthropic, raporu 'Bilgilendirme Amaçlı' olarak işaretleyip kapatırken, Tego AI bu güvenlik açığının verilerin kullanıcının farkında olmadan otomatik olarak dışarı sızmasına neden olduğunu vurguluyor [3][17].
Güvenlik açığı, Claude Code'un bellek yükleyicisindeki basit ama kritik bir gözden kaçırmaya dayanıyor:
Kötü niyetli bir depo, normal görünen bir CLAUDE.md dosyası içerir. Bu dosya, depo içindeki bir dosyayı işaret eden bir @import yönergesi içerir – örneğin, @./link.
Bu dosya (link), Git tarafından depolanan bir sembolik bağlantıdır (Git'te mod 120000) ve /etc/passwd veya ../../../../home/kullanici/.ssh/id_rsa gibi depo dışındaki bir hedefi işaret eder. Git, kopyalama sırasında sembolik bağlantıları korur .
Bir geliştirici depoyu klonlayıp Claude Code'u başlattığında, bellek yükleyici CLAUDE.md dosyasını okur ve @./link içe aktarmasıyla karşılaşır. Sözcüksel yolun (./link) proje içinde olup olmadığını kontrol eder – evet, içindedir – bu nedenle içe aktarma 'dahili' olarak sınıflandırılır ve hiçbir harici içe aktarma onay diyaloğu görünmez .
Yükleyici daha sonra sembolik bağlantıyı takip eder proje dışındaki gerçek hedef dosyaya gider, içeriğini okur ve modelin ilk bağlam penceresine yerleştirir .
İçerik, Anthropic'in API'sine yapılan ilk giden istekte makineden ayrılır – model herhangi bir işlem yapmadan önce ve hiçbir görünür araç çağrısı olmadan. Kullanıcı herhangi bir uyarı görmez .
İsteğe bağlı olarak, depodaki ayrıca bilinen bir ANTHROPIC_BASE_URL ayarı, giden uç noktasını saldırganın kontrol ettiği bir sunucuya yönlendirerek sızmayı tamamlayabilir .
Yeni bulgu, Claude Code'un sembolik bağlantıları takip etmesi değil – bu belgelenmiş ve kasıtlıdır. Yeni bulgu, onay atlatmasıdır: harici içe aktarma kontrolü çözülmemiş yola karşı çalışır, okuma işlemi çözülmüş yol üzerinde gerçekleşir ve bellek yükleyici, daha önceki iki CVE'de Claude Code'un izin alt sistemine uygulanan sembolik bağlantı çözümleme düzeltmesini hiçbir zaman almamıştır .
Anthropic'in Yanıtı
Tego AI, sorunu Temmuz 2026'da HackerOne aracılığıyla bildirdi. Anthropic, raporu 'Bilgilendirme Amaçlı' olarak kapattı – yani, mevcut tehdit modeli kapsamında bunu bir güvenlik açığı olarak ele almadı .
Anthropic'in gerekçesi: Claude Code'un tehdit modeli altında, 'bu klasöre güven' diyaloğu güvenlik sınırıdır. Bu diyaloğu kabul etmek, projeye geniş okuma, düzenleme ve yürütme erişimi verir. Tego AI, Anthropic'in bu modeli tutarlı bir şekilde uyguladığını tartışmıyor, ancak bulgunun hala önemli olduğunu çünkü verilerin otomatik olarak, sessizce ve kullanıcının farkında olmadan makineden ayrıldığını savunuyor .
Önemlisi, aynı sembolik bağlantı ve güvenlik kontrolü başarısızlık modeli daha önce Claude Code'un izin alt sisteminde iki kez düzeltilmişti:
CVE-2025-59829 (Eylül 2025'te düzeltildi): dosya izinlerindeki reddetme kurallarının sembolik bağlantı yoluyla atlatılması
CVE-2026-25724 (Ocak 2026'da düzeltildi): yine aynı model, reddetme kuralının sembolik bağlantılar yoluyla atlatılması
Her iki önceki düzeltme de izinleri kontrol etmeden önce sembolik bağlantıyı çözdü – ancak bu düzeltme hiçbir zaman bellek yükleyici kod yoluna uygulanmadı .
Daha Geniş Model: Claude Ekosistemi ve AI Kodlama Aracı Güvenliği
Tego AI'nın ifşası, bir hafta içinde Claude ekosistemindeki ikinci güvenlik açığı. 14 Temmuz 2026'da Tego, Claude Tag'in Slack entegrasyonunun herhangi bir mesajdaki düz @Claude metni tarafından tetiklenebileceğini ve potansiyel olarak yetkisiz kurumsal eylemleri mümkün kılabileceğini ifşa etti .
Tego'nun çalışmasının ötesinde, Claude Code, kabaca bir yıllık varlığında en az 28 CVE biriktirdi:
İki adet CVSS 10.0 kritik sandbox kaçışı: CVE-2026-39861 (sembolik bağlantı sandbox kaçışı) ve CVE-2026-25725 (settings.json sandbox atlatması)
CVE-2026-46406 (Haziran 2026): /copy komutu yanıtları sabit kodlanmış, herkesin okuyabileceği bir geçici yola (/tmp/claude/response.md) yazıyordu ve bu, herhangi bir yerel kullanıcının sırları okumasına izin veriyordu
Check Point Research (Şubat 2026): Kötü niyetli depo düzeyindeki yapılandırma dosyaları aracılığıyla RCE ve API anahtarı hırsızlığını mümkün kılan kritik kusurlar (CVE-2025-59536, CVE-2026-21852)
Sektörler arası araştırma, bunun yalnızca Anthropic'e özgü olmadığını gösteriyor:
GhostApproval (Wiz, Temmuz 2026): Altı AI kodlama asistanındaki (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) sembolik bağlantı kusurları, tuzaklanmış bir deponun, kullanıcı zararsız bir dosyaya yazmayı onaylarken aracın hassas bir dosyaya yazmasını sağlamasına izin veriyor
SymJack (Adversa AI, Mayıs 2026): Altı üründe (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI) RCE elde eden tek bir sembolik bağlantı ele geçirme saldırısı. Kullanıcı bir dosya kopyalamayı onaylar; çekirdek başka bir yere yazar
TrustFall (Adversa AI, Mayıs 2026): Depo tarafından tanımlanan MCP sunucuları, kullanıcı klasör güven istemini kabul ettiğinde otomatik olarak çalışır
Altta yatan mimari gerilim sektör genelinde tutarlıdır: AI kodlama ajanlarının yararlı olabilmek için geniş dosya sistemi, kabuk ve ağ erişimine ihtiyacı vardır – ancak bu yükseltilmiş erişim, bir saldırganın ihtiyaç duyduğu ayrıcalıkla aynıdır. Her sandbox kaçışı, yol atlaması ve güven diyaloğu atlatması aynı zorluktan kaynaklanmaktadır . Saldırı yüzeyi küçülmüyor; yeni özellikler, mevcut olanların yamalanmasından daha hızlı yeni vektörler ekliyor.
Güvenlik açığı, Claude Code'un bellek yükleyicisindeki basit ama kritik bir gözden kaçırmaya dayanıyor:
Kötü niyetli bir depo, normal görünen bir CLAUDE.md dosyası içerir. Bu dosya, depo içindeki bir dosyayı işaret eden bir @import yönergesi içerir – örneğin, @./link.
Bu dosya (link), Git tarafından depolanan bir sembolik bağlantıdır (Git'te mod 120000) ve /etc/passwd veya ../../../../home/kullanici/.ssh/id_rsa gibi depo dışındaki bir hedefi işaret eder. Git, kopyalama sırasında sembolik bağlantıları korur .
Bir geliştirici depoyu klonlayıp Claude Code'u başlattığında, bellek yükleyici CLAUDE.md dosyasını okur ve @./link içe aktarmasıyla karşılaşır. Sözcüksel yolun (./link) proje içinde olup olmadığını kontrol eder – evet, içindedir – bu nedenle içe aktarma 'dahili' olarak sınıflandırılır ve hiçbir harici içe aktarma onay diyaloğu görünmez .
Yükleyici daha sonra sembolik bağlantıyı takip eder proje dışındaki gerçek hedef dosyaya gider, içeriğini okur ve modelin ilk bağlam penceresine yerleştirir .
İçerik, Anthropic'in API'sine yapılan ilk giden istekte makineden ayrılır – model herhangi bir işlem yapmadan önce ve hiçbir görünür araç çağrısı olmadan. Kullanıcı herhangi bir uyarı görmez .
İsteğe bağlı olarak, depodaki ayrıca bilinen bir ANTHROPIC_BASE_URL ayarı, giden uç noktasını saldırganın kontrol ettiği bir sunucuya yönlendirerek sızmayı tamamlayabilir .
Yeni bulgu, Claude Code'un sembolik bağlantıları takip etmesi değil – bu belgelenmiş ve kasıtlıdır. Yeni bulgu, onay atlatmasıdır: harici içe aktarma kontrolü çözülmemiş yola karşı çalışır, okuma işlemi çözülmüş yol üzerinde gerçekleşir ve bellek yükleyici, daha önceki iki CVE'de Claude Code'un izin alt sistemine uygulanan sembolik bağlantı çözümleme düzeltmesini hiçbir zaman almamıştır .
Anthropic'in Yanıtı
Tego AI, sorunu Temmuz 2026'da HackerOne aracılığıyla bildirdi. Anthropic, raporu 'Bilgilendirme Amaçlı' olarak kapattı – yani, mevcut tehdit modeli kapsamında bunu bir güvenlik açığı olarak ele almadı .
Anthropic'in gerekçesi: Claude Code'un tehdit modeli altında, 'bu klasöre güven' diyaloğu güvenlik sınırıdır. Bu diyaloğu kabul etmek, projeye geniş okuma, düzenleme ve yürütme erişimi verir. Tego AI, Anthropic'in bu modeli tutarlı bir şekilde uyguladığını tartışmıyor, ancak bulgunun hala önemli olduğunu çünkü verilerin otomatik olarak, sessizce ve kullanıcının farkında olmadan makineden ayrıldığını savunuyor .
Önemlisi, aynı sembolik bağlantı ve güvenlik kontrolü başarısızlık modeli daha önce Claude Code'un izin alt sisteminde iki kez düzeltilmişti:
CVE-2025-59829 (Eylül 2025'te düzeltildi): dosya izinlerindeki reddetme kurallarının sembolik bağlantı yoluyla atlatılması
CVE-2026-25724 (Ocak 2026'da düzeltildi): yine aynı model, reddetme kuralının sembolik bağlantılar yoluyla atlatılması
Her iki önceki düzeltme de izinleri kontrol etmeden önce sembolik bağlantıyı çözdü – ancak bu düzeltme hiçbir zaman bellek yükleyici kod yoluna uygulanmadı .
Daha Geniş Model: Claude Ekosistemi ve AI Kodlama Aracı Güvenliği
Tego AI'nın ifşası, bir hafta içinde Claude ekosistemindeki ikinci güvenlik açığı. 14 Temmuz 2026'da Tego, Claude Tag'in Slack entegrasyonunun herhangi bir mesajdaki düz @Claude metni tarafından tetiklenebileceğini ve potansiyel olarak yetkisiz kurumsal eylemleri mümkün kılabileceğini ifşa etti .
Tego'nun çalışmasının ötesinde, Claude Code, kabaca bir yıllık varlığında en az 28 CVE biriktirdi:
İki adet CVSS 10.0 kritik sandbox kaçışı: CVE-2026-39861 (sembolik bağlantı sandbox kaçışı) ve CVE-2026-25725 (settings.json sandbox atlatması)
CVE-2026-46406 (Haziran 2026): /copy komutu yanıtları sabit kodlanmış, herkesin okuyabileceği bir geçici yola (/tmp/claude/response.md) yazıyordu ve bu, herhangi bir yerel kullanıcının sırları okumasına izin veriyordu
Check Point Research (Şubat 2026): Kötü niyetli depo düzeyindeki yapılandırma dosyaları aracılığıyla RCE ve API anahtarı hırsızlığını mümkün kılan kritik kusurlar (CVE-2025-59536, CVE-2026-21852)
Sektörler arası araştırma, bunun yalnızca Anthropic'e özgü olmadığını gösteriyor:
GhostApproval (Wiz, Temmuz 2026): Altı AI kodlama asistanındaki (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) sembolik bağlantı kusurları, tuzaklanmış bir deponun, kullanıcı zararsız bir dosyaya yazmayı onaylarken aracın hassas bir dosyaya yazmasını sağlamasına izin veriyor
SymJack (Adversa AI, Mayıs 2026): Altı üründe (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI) RCE elde eden tek bir sembolik bağlantı ele geçirme saldırısı. Kullanıcı bir dosya kopyalamayı onaylar; çekirdek başka bir yere yazar
TrustFall (Adversa AI, Mayıs 2026): Depo tarafından tanımlanan MCP sunucuları, kullanıcı klasör güven istemini kabul ettiğinde otomatik olarak çalışır
Altta yatan mimari gerilim sektör genelinde tutarlıdır: AI kodlama ajanlarının yararlı olabilmek için geniş dosya sistemi, kabuk ve ağ erişimine ihtiyacı vardır – ancak bu yükseltilmiş erişim, bir saldırganın ihtiyaç duyduğu ayrıcalıkla aynıdır. Her sandbox kaçışı, yol atlaması ve güven diyaloğu atlatması aynı zorluktan kaynaklanmaktadır . Saldırı yüzeyi küçülmüyor; yeni özellikler, mevcut olanların yamalanmasından daha hızlı yeni vektörler ekliyor.
