Вразливість символічних посилань у Claude Code: як файл CLAUDE.md може потайки викрасти ваші дані
24 липня 2026 року Tego AI розкрила вразливість в Anthropic Claude Code: файл CLAUDE.md з директивою @import, що вказує на символічне посилання всередині репозиторію, може потайки читати файли за межами проєкту та над... Атака експлуатує розбіжність між шляхом, який перевіряє Claude Code (лексичний), і шляхом, який...
ОпублікувавВідредаговано за допомогою DeepSeek-V4-FlashЗображення створено за допомогою GPT Image 1.5
24 липня 2026 року Tego AI розкрила вразливість в Anthropic Claude Code: файл CLAUDE.md з директивою @import, що вказує на символічне посилання всередині репозиторію, може потайки читати файли за межами проєкту та над...
Атака експлуатує розбіжність між шляхом, який перевіряє Claude Code (лексичний), і шляхом, який він читає (розпізнаний через символічне посилання).
Anthropic закрила звіт як «Інформаційний», стверджуючи, що діалог «довіряти цій папці» вже охоплює цей ризик.
Така ж помилка з символічними посиланнями була виправлена двічі раніше в підсистемі дозволів Claude Code (CVE 2025 59829, CVE 2026 25724), але виправлення не застосували до завантажувача пам'яті.
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
24 липня 2026 року ізраїльська компанія з кібербезпеки Tego AI розкрила вразливість в Anthropic Claude Code, яка дозволяє зловмисному репозиторію потайки викрадати файли з машини розробника. Атака експлуатує розбіжність походження у тому, як Claude Code обробляє символічні посилання у файлі інструкцій проєкту CLAUDE.md. Коли розробник клонує репозиторій і запускає Claude Code, символічне посилання всередині репо може змусити інструмент читати файли за межами проєкту та включати їхній вміст у перший запит до моделі — без попередження, діалогу підтвердження та видимого виклику інструмента .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Вразливість символічних посилань у Claude Code: як файл CLAUDE.md може потайки викрасти ваші дані"?
24 липня 2026 року Tego AI розкрила вразливість в Anthropic Claude Code: файл CLAUDE.md з директивою @import, що вказує на символічне посилання всередині репозиторію, може потайки читати файли за межами проєкту та над...
What are the key points to validate first?
24 липня 2026 року Tego AI розкрила вразливість в Anthropic Claude Code: файл CLAUDE.md з директивою @import, що вказує на символічне посилання всередині репозиторію, може потайки читати файли за межами проєкту та над... Атака експлуатує розбіжність між шляхом, який перевіряє Claude Code (лексичний), і шляхом, який він читає (розпізнаний через символічне посилання).
What should I do next in practice?
Anthropic закрила звіт як «Інформаційний», стверджуючи, що діалог «довіряти цій папці» вже охоплює цей ризик.
Вразливість символічних посилань у Claude Code: як файл CLAUDE.md може потайки викрасти ваші дані
24 липня 2026 року Tego AI розкрила вразливість в Anthropic Claude Code: файл CLAUDE.md з директивою @import, що вказує на символічне посилання всередині репозиторію, може потайки читати файли за межами проєкту та над... Атака експлуатує розбіжність між шляхом, який перевіряє Claude Code (лексичний), і шляхом, який...
ОпублікувавВідредаговано за допомогою DeepSeek-V4-FlashЗображення створено за допомогою GPT Image 1.5
24 липня 2026 року Tego AI розкрила вразливість в Anthropic Claude Code: файл CLAUDE.md з директивою @import, що вказує на символічне посилання всередині репозиторію, може потайки читати файли за межами проєкту та над...
Атака експлуатує розбіжність між шляхом, який перевіряє Claude Code (лексичний), і шляхом, який він читає (розпізнаний через символічне посилання).
Anthropic закрила звіт як «Інформаційний», стверджуючи, що діалог «довіряти цій папці» вже охоплює цей ризик.
Така ж помилка з символічними посиланнями була виправлена двічі раніше в підсистемі дозволів Claude Code (CVE 2025 59829, CVE 2026 25724), але виправлення не застосували до завантажувача пам'яті.
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
24 липня 2026 року ізраїльська компанія з кібербезпеки Tego AI розкрила вразливість в Anthropic Claude Code, яка дозволяє зловмисному репозиторію потайки викрадати файли з машини розробника. Атака експлуатує розбіжність походження у тому, як Claude Code обробляє символічні посилання у файлі інструкцій проєкту CLAUDE.md. Коли розробник клонує репозиторій і запускає Claude Code, символічне посилання всередині репо може змусити інструмент читати файли за межами проєкту та включати їхній вміст у перший запит до моделі — без попередження, діалогу підтвердження та видимого виклику інструмента .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Вразливість символічних посилань у Claude Code: як файл CLAUDE.md може потайки викрасти ваші дані"?
24 липня 2026 року Tego AI розкрила вразливість в Anthropic Claude Code: файл CLAUDE.md з директивою @import, що вказує на символічне посилання всередині репозиторію, може потайки читати файли за межами проєкту та над...
What are the key points to validate first?
24 липня 2026 року Tego AI розкрила вразливість в Anthropic Claude Code: файл CLAUDE.md з директивою @import, що вказує на символічне посилання всередині репозиторію, може потайки читати файли за межами проєкту та над... Атака експлуатує розбіжність між шляхом, який перевіряє Claude Code (лексичний), і шляхом, який він читає (розпізнаний через символічне посилання).
What should I do next in practice?
Anthropic закрила звіт як «Інформаційний», стверджуючи, що діалог «довіряти цій папці» вже охоплює цей ризик.
Вразливість виникає через простий, але критичний недогляд у завантажувачі пам'яті Claude Code:
Зловмисний репозиторій містить звичайний файл CLAUDE.md з директивою @import, що вказує на файл усередині репо — наприклад, @./link.
Цей файл є символічним посиланням, збереженим у Git (режим 120000 у Git), яке вказує на ціль за межами репозиторію, наприклад, /etc/passwd або ../../../../home/user/.ssh/id_rsa. Git зберігає символічні посилання під час клонування .
Коли розробник клонує репо та запускає Claude Code, завантажувач пам'яті читає CLAUDE.md і зустрічає імпорт @./link. Він перевіряє, чи знаходиться лексичний шлях (./link) усередині проєкту — так — тому імпорт класифікується як «внутрішній», і діалог підтвердження зовнішнього імпорту не з'являється .
Завантажувач потім переходить за символічним посиланням до фактичної цільової файлу за межами проєкту, читає його вміст і поміщає його в початковий контекстний вікон моделі .
Вміст залишає машину в першому вихідному запиті до Anthropic API — до того, як модель виконає будь-яку дію, і без видимого виклику інструмента. Користувач не бачить жодного попередження .
Опціонально, окремо відома настройка ANTHROPIC_BASE_URL у репо може перенаправити вихідну кінцеву точку на сервер, який контролює зловмисник, завершуючи ексфільтрацію .
Нова знахідка полягає не в тому, що Claude Code переходить за символічними посиланнями — це задокументовано та навмисно. Нова знахідка — це обхід згоди: перевірка зовнішнього імпорту виконується на нерозпізнаному шляху, читання виконується на розпізнаному шляху, а завантажувач пам'яті ніколи не отримав виправлення розпізнавання символічних посилань, яке було застосовано до підсистеми дозволів Claude Code у двох попередніх CVE .
Реакція Anthropic
Tego AI повідомила про проблему через HackerOne у липні 2026 року. Anthropic закрила звіт як «Інформаційний» — це означає, що компанія не вважає це вразливістю безпеки в рамках своєї поточної моделі загроз .
Обґрунтування Anthropic: згідно з моделлю загроз Claude Code, діалог «довіряти цій папці» є кордоном безпеки. Прийняття цього діалогу вже надає проєкту широкий доступ на читання, редагування та виконання. Tego AI не заперечує, що Anthropic послідовно застосовує цю модель, але стверджує, що знахідка все одно важлива, оскільки дані залишають машину автоматично, непомітно та поза усвідомленням користувача .
Примітно, що той самий шаблон помилки символічного посилання проти перевірки безпеки був виправлений двічі раніше в підсистемі дозволів Claude Code:
CVE-2025-59829 (виправлено вересень 2025 року): обхід правил заборони за допомогою символічних посилань у дозволах файлів
CVE-2026-25724 (виправлено січень 2026 року): той самий шаблон знову, обхід правил заборони через символічні посилання
Обидва попередні виправлення розпізнавали символічне посилання перед перевіркою дозволів — але це виправлення ніколи не було застосоване до коду завантажувача пам'яті .
Ширший шаблон: Екосистема Claude та безпека AI-інструментів для кодування
Розкриття Tego AI є другою знайденою вразливістю в екосистемі Claude за тиждень. 14 липня 2026 року Tego повідомила, що інтеграція Claude Tag з Slack може бути активована звичайним текстом @Claude у будь-якому повідомленні, що потенційно дозволяє неавторизовані корпоративні дії .
Окрім роботи Tego, Claude Code накопичив щонайменше 28 CVE приблизно за один рік існування, включаючи:
Дві критичні втечі з пісочниці з CVSS 10.0: CVE-2026-39861 (втеча з пісочниці через символічне посилання) та CVE-2026-25725 (обхід пісочниці через settings.json)
CVE-2026-46406 (червень 2026 року): команда /copy записувала відповіді у жорстко заданий загальнодоступний тимчасовий шлях /tmp/claude/response.md, дозволяючи будь-якому локальному користувачеві читати секрети
Дослідження Check Point (лютий 2026 року): критичні вразливості (CVE-2025-59536, CVE-2026-21852), що дозволяють виконання віддаленого коду та крадіжку ключів API через зловмисні файли конфігурації на рівні репозиторію
Міжгалузеві дослідження показують, що це не унікально для Anthropic:
GhostApproval (Wiz, липень 2026 року): Вразливості символічних посилань у шести AI-асистентах кодування (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) дозволяють замінованому репо змусити інструмент записувати у чутливий файл, поки користувач схвалює запис у нешкідливий
SymJack (Adversa AI, травень 2026 року): Атака перехоплення символічного посилання, що досягає RCE на шести продуктах (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Користувач схвалює копіювання файлу; ядро записує в інше місце
TrustFall (Adversa AI, травень 2026 року): MCP-сервери, визначені в репозиторії, виконуються автоматично, щойно користувач приймає запит на довіру до папки
Основна архітектурна напруга є послідовною в усій галузі: AI-агентам кодування потрібен широкий доступ до файлової системи, оболонки та мережі, щоб бути корисними — але цей підвищений доступ є тим самим привілеєм, який потрібен атакувальнику. Кожна втеча з пісочниці, обхід шляху та обхід діалогу довіри випливають з однієї й тієї ж проблеми . Поверхня атаки не зменшується; нові функції додають нові вектори швидше, ніж існуючі патчаться.
Вразливість виникає через простий, але критичний недогляд у завантажувачі пам'яті Claude Code:
Зловмисний репозиторій містить звичайний файл CLAUDE.md з директивою @import, що вказує на файл усередині репо — наприклад, @./link.
Цей файл є символічним посиланням, збереженим у Git (режим 120000 у Git), яке вказує на ціль за межами репозиторію, наприклад, /etc/passwd або ../../../../home/user/.ssh/id_rsa. Git зберігає символічні посилання під час клонування .
Коли розробник клонує репо та запускає Claude Code, завантажувач пам'яті читає CLAUDE.md і зустрічає імпорт @./link. Він перевіряє, чи знаходиться лексичний шлях (./link) усередині проєкту — так — тому імпорт класифікується як «внутрішній», і діалог підтвердження зовнішнього імпорту не з'являється .
Завантажувач потім переходить за символічним посиланням до фактичної цільової файлу за межами проєкту, читає його вміст і поміщає його в початковий контекстний вікон моделі .
Вміст залишає машину в першому вихідному запиті до Anthropic API — до того, як модель виконає будь-яку дію, і без видимого виклику інструмента. Користувач не бачить жодного попередження .
Опціонально, окремо відома настройка ANTHROPIC_BASE_URL у репо може перенаправити вихідну кінцеву точку на сервер, який контролює зловмисник, завершуючи ексфільтрацію .
Нова знахідка полягає не в тому, що Claude Code переходить за символічними посиланнями — це задокументовано та навмисно. Нова знахідка — це обхід згоди: перевірка зовнішнього імпорту виконується на нерозпізнаному шляху, читання виконується на розпізнаному шляху, а завантажувач пам'яті ніколи не отримав виправлення розпізнавання символічних посилань, яке було застосовано до підсистеми дозволів Claude Code у двох попередніх CVE .
Реакція Anthropic
Tego AI повідомила про проблему через HackerOne у липні 2026 року. Anthropic закрила звіт як «Інформаційний» — це означає, що компанія не вважає це вразливістю безпеки в рамках своєї поточної моделі загроз .
Обґрунтування Anthropic: згідно з моделлю загроз Claude Code, діалог «довіряти цій папці» є кордоном безпеки. Прийняття цього діалогу вже надає проєкту широкий доступ на читання, редагування та виконання. Tego AI не заперечує, що Anthropic послідовно застосовує цю модель, але стверджує, що знахідка все одно важлива, оскільки дані залишають машину автоматично, непомітно та поза усвідомленням користувача .
Примітно, що той самий шаблон помилки символічного посилання проти перевірки безпеки був виправлений двічі раніше в підсистемі дозволів Claude Code:
CVE-2025-59829 (виправлено вересень 2025 року): обхід правил заборони за допомогою символічних посилань у дозволах файлів
CVE-2026-25724 (виправлено січень 2026 року): той самий шаблон знову, обхід правил заборони через символічні посилання
Обидва попередні виправлення розпізнавали символічне посилання перед перевіркою дозволів — але це виправлення ніколи не було застосоване до коду завантажувача пам'яті .
Ширший шаблон: Екосистема Claude та безпека AI-інструментів для кодування
Розкриття Tego AI є другою знайденою вразливістю в екосистемі Claude за тиждень. 14 липня 2026 року Tego повідомила, що інтеграція Claude Tag з Slack може бути активована звичайним текстом @Claude у будь-якому повідомленні, що потенційно дозволяє неавторизовані корпоративні дії .
Окрім роботи Tego, Claude Code накопичив щонайменше 28 CVE приблизно за один рік існування, включаючи:
Дві критичні втечі з пісочниці з CVSS 10.0: CVE-2026-39861 (втеча з пісочниці через символічне посилання) та CVE-2026-25725 (обхід пісочниці через settings.json)
CVE-2026-46406 (червень 2026 року): команда /copy записувала відповіді у жорстко заданий загальнодоступний тимчасовий шлях /tmp/claude/response.md, дозволяючи будь-якому локальному користувачеві читати секрети
Дослідження Check Point (лютий 2026 року): критичні вразливості (CVE-2025-59536, CVE-2026-21852), що дозволяють виконання віддаленого коду та крадіжку ключів API через зловмисні файли конфігурації на рівні репозиторію
Міжгалузеві дослідження показують, що це не унікально для Anthropic:
GhostApproval (Wiz, липень 2026 року): Вразливості символічних посилань у шести AI-асистентах кодування (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) дозволяють замінованому репо змусити інструмент записувати у чутливий файл, поки користувач схвалює запис у нешкідливий
SymJack (Adversa AI, травень 2026 року): Атака перехоплення символічного посилання, що досягає RCE на шести продуктах (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Користувач схвалює копіювання файлу; ядро записує в інше місце
TrustFall (Adversa AI, травень 2026 року): MCP-сервери, визначені в репозиторії, виконуються автоматично, щойно користувач приймає запит на довіру до папки
Основна архітектурна напруга є послідовною в усій галузі: AI-агентам кодування потрібен широкий доступ до файлової системи, оболонки та мережі, щоб бути корисними — але цей підвищений доступ є тим самим привілеєм, який потрібен атакувальнику. Кожна втеча з пісочниці, обхід шляху та обхід діалогу довіри випливають з однієї й тієї ж проблеми . Поверхня атаки не зменшується; нові функції додають нові вектори швидше, ніж існуючі патчаться.
