Claude Code Symlink Güvenlik Açığı: Bir CLAUDE.md Dosyası Verilerinizi Nasıl Sessizce Çalabilir?

Saldırı Nasıl Çalışıyor?

Güvenlik açığı, Claude Code'un bellek yükleyicisindeki basit ama kritik bir gözden kaçırmaya dayanıyor:

1. Kötü niyetli bir depo, normal görünen bir CLAUDE.md dosyası içerir. Bu dosya, depo içindeki bir dosyayı işaret eden bir @import yönergesi içerir – örneğin, @./link .
2. Bu dosya (link), Git tarafından depolanan bir sembolik bağlantıdır (Git'te mod 120000) ve /etc/passwd veya ../../../../home/kullanici/.ssh/id_rsa gibi depo dışındaki bir hedefi işaret eder. Git, kopyalama sırasında sembolik bağlantıları korur .
3. Bir geliştirici depoyu klonlayıp Claude Code'u başlattığında, bellek yükleyici CLAUDE.md dosyasını okur ve @./link içe aktarmasıyla karşılaşır. Sözcüksel yolun (./link) proje içinde olup olmadığını kontrol eder – evet, içindedir – bu nedenle içe aktarma 'dahili' olarak sınıflandırılır ve hiçbir harici içe aktarma onay diyaloğu görünmez .
4. Yükleyici daha sonra sembolik bağlantıyı takip eder proje dışındaki gerçek hedef dosyaya gider, içeriğini okur ve modelin ilk bağlam penceresine yerleştirir .
5. İçerik, Anthropic'in API'sine yapılan ilk giden istekte makineden ayrılır – model herhangi bir işlem yapmadan önce ve hiçbir görünür araç çağrısı olmadan. Kullanıcı herhangi bir uyarı görmez .
6. İsteğe bağlı olarak, depodaki ayrıca bilinen bir ANTHROPIC_BASE_URL ayarı, giden uç noktasını saldırganın kontrol ettiği bir sunucuya yönlendirerek sızmayı tamamlayabilir .

Yeni bulgu, Claude Code'un sembolik bağlantıları takip etmesi değil – bu belgelenmiş ve kasıtlıdır. Yeni bulgu, onay atlatmasıdır: harici içe aktarma kontrolü çözülmemiş yola karşı çalışır, okuma işlemi çözülmüş yol üzerinde gerçekleşir ve bellek yükleyici, daha önceki iki CVE'de Claude Code'un izin alt sistemine uygulanan sembolik bağlantı çözümleme düzeltmesini hiçbir zaman almamıştır .

Anthropic'in Yanıtı

Tego AI, sorunu Temmuz 2026'da HackerOne aracılığıyla bildirdi. Anthropic, raporu 'Bilgilendirme Amaçlı' olarak kapattı – yani, mevcut tehdit modeli kapsamında bunu bir güvenlik açığı olarak ele almadı .

Anthropic'in gerekçesi: Claude Code'un tehdit modeli altında, 'bu klasöre güven' diyaloğu güvenlik sınırıdır. Bu diyaloğu kabul etmek, projeye geniş okuma, düzenleme ve yürütme erişimi verir. Tego AI, Anthropic'in bu modeli tutarlı bir şekilde uyguladığını tartışmıyor, ancak bulgunun hala önemli olduğunu çünkü verilerin otomatik olarak, sessizce ve kullanıcının farkında olmadan makineden ayrıldığını savunuyor .

Önemlisi, aynı sembolik bağlantı ve güvenlik kontrolü başarısızlık modeli daha önce Claude Code'un izin alt sisteminde iki kez düzeltilmişti:

• CVE-2025-59829 (Eylül 2025'te düzeltildi): dosya izinlerindeki reddetme kurallarının sembolik bağlantı yoluyla atlatılması
• CVE-2026-25724 (Ocak 2026'da düzeltildi): yine aynı model, reddetme kuralının sembolik bağlantılar yoluyla atlatılması

Her iki önceki düzeltme de izinleri kontrol etmeden önce sembolik bağlantıyı çözdü – ancak bu düzeltme hiçbir zaman bellek yükleyici kod yoluna uygulanmadı .

Daha Geniş Model: Claude Ekosistemi ve AI Kodlama Aracı Güvenliği

Tego AI'nın ifşası, bir hafta içinde Claude ekosistemindeki ikinci güvenlik açığı. 14 Temmuz 2026'da Tego, Claude Tag'in Slack entegrasyonunun herhangi bir mesajdaki düz @Claude metni tarafından tetiklenebileceğini ve potansiyel olarak yetkisiz kurumsal eylemleri mümkün kılabileceğini ifşa etti .

Tego'nun çalışmasının ötesinde, Claude Code, kabaca bir yıllık varlığında en az 28 CVE biriktirdi:

• İki adet CVSS 10.0 kritik sandbox kaçışı: CVE-2026-39861 (sembolik bağlantı sandbox kaçışı) ve CVE-2026-25725 (settings.json sandbox atlatması)
• CVE-2026-46406 (Haziran 2026): /copy komutu yanıtları sabit kodlanmış, herkesin okuyabileceği bir geçici yola (/tmp/claude/response.md) yazıyordu ve bu, herhangi bir yerel kullanıcının sırları okumasına izin veriyordu
• Check Point Research (Şubat 2026): Kötü niyetli depo düzeyindeki yapılandırma dosyaları aracılığıyla RCE ve API anahtarı hırsızlığını mümkün kılan kritik kusurlar (CVE-2025-59536, CVE-2026-21852)

Sektörler arası araştırma, bunun yalnızca Anthropic'e özgü olmadığını gösteriyor:

• GhostApproval (Wiz, Temmuz 2026): Altı AI kodlama asistanındaki (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) sembolik bağlantı kusurları, tuzaklanmış bir deponun, kullanıcı zararsız bir dosyaya yazmayı onaylarken aracın hassas bir dosyaya yazmasını sağlamasına izin veriyor
• SymJack (Adversa AI, Mayıs 2026): Altı üründe (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI) RCE elde eden tek bir sembolik bağlantı ele geçirme saldırısı. Kullanıcı bir dosya kopyalamayı onaylar; çekirdek başka bir yere yazar
• TrustFall (Adversa AI, Mayıs 2026): Depo tarafından tanımlanan MCP sunucuları, kullanıcı klasör güven istemini kabul ettiğinde otomatik olarak çalışır

Altta yatan mimari gerilim sektör genelinde tutarlıdır: AI kodlama ajanlarının yararlı olabilmek için geniş dosya sistemi, kabuk ve ağ erişimine ihtiyacı vardır – ancak bu yükseltilmiş erişim, bir saldırganın ihtiyaç duyduğu ayrıcalıkla aynıdır. Her sandbox kaçışı, yol atlaması ve güven diyaloğu atlatması aynı zorluktan kaynaklanmaktadır . Saldırı yüzeyi küçülmüyor; yeni özellikler, mevcut olanların yamalanmasından daha hızlı yeni vektörler ekliyor.