Вразливість символічних посилань у Claude Code: як файл CLAUDE.md може потайки викрасти ваші дані

Як працює атака

Вразливість виникає через простий, але критичний недогляд у завантажувачі пам'яті Claude Code:

1. Зловмисний репозиторій містить звичайний файл CLAUDE.md з директивою @import, що вказує на файл усередині репо — наприклад, @./link .
2. Цей файл є символічним посиланням, збереженим у Git (режим 120000 у Git), яке вказує на ціль за межами репозиторію, наприклад, /etc/passwd або ../../../../home/user/.ssh/id_rsa. Git зберігає символічні посилання під час клонування .
3. Коли розробник клонує репо та запускає Claude Code, завантажувач пам'яті читає CLAUDE.md і зустрічає імпорт @./link. Він перевіряє, чи знаходиться лексичний шлях (./link) усередині проєкту — так — тому імпорт класифікується як «внутрішній», і діалог підтвердження зовнішнього імпорту не з'являється .
4. Завантажувач потім переходить за символічним посиланням до фактичної цільової файлу за межами проєкту, читає його вміст і поміщає його в початковий контекстний вікон моделі .
5. Вміст залишає машину в першому вихідному запиті до Anthropic API — до того, як модель виконає будь-яку дію, і без видимого виклику інструмента. Користувач не бачить жодного попередження .
6. Опціонально, окремо відома настройка ANTHROPIC_BASE_URL у репо може перенаправити вихідну кінцеву точку на сервер, який контролює зловмисник, завершуючи ексфільтрацію .

Нова знахідка полягає не в тому, що Claude Code переходить за символічними посиланнями — це задокументовано та навмисно. Нова знахідка — це обхід згоди: перевірка зовнішнього імпорту виконується на нерозпізнаному шляху, читання виконується на розпізнаному шляху, а завантажувач пам'яті ніколи не отримав виправлення розпізнавання символічних посилань, яке було застосовано до підсистеми дозволів Claude Code у двох попередніх CVE .

Реакція Anthropic

Tego AI повідомила про проблему через HackerOne у липні 2026 року. Anthropic закрила звіт як «Інформаційний» — це означає, що компанія не вважає це вразливістю безпеки в рамках своєї поточної моделі загроз .

Обґрунтування Anthropic: згідно з моделлю загроз Claude Code, діалог «довіряти цій папці» є кордоном безпеки. Прийняття цього діалогу вже надає проєкту широкий доступ на читання, редагування та виконання. Tego AI не заперечує, що Anthropic послідовно застосовує цю модель, але стверджує, що знахідка все одно важлива, оскільки дані залишають машину автоматично, непомітно та поза усвідомленням користувача .

Примітно, що той самий шаблон помилки символічного посилання проти перевірки безпеки був виправлений двічі раніше в підсистемі дозволів Claude Code:

• CVE-2025-59829 (виправлено вересень 2025 року): обхід правил заборони за допомогою символічних посилань у дозволах файлів
• CVE-2026-25724 (виправлено січень 2026 року): той самий шаблон знову, обхід правил заборони через символічні посилання

Обидва попередні виправлення розпізнавали символічне посилання перед перевіркою дозволів — але це виправлення ніколи не було застосоване до коду завантажувача пам'яті .

Ширший шаблон: Екосистема Claude та безпека AI-інструментів для кодування

Розкриття Tego AI є другою знайденою вразливістю в екосистемі Claude за тиждень. 14 липня 2026 року Tego повідомила, що інтеграція Claude Tag з Slack може бути активована звичайним текстом @Claude у будь-якому повідомленні, що потенційно дозволяє неавторизовані корпоративні дії .

Окрім роботи Tego, Claude Code накопичив щонайменше 28 CVE приблизно за один рік існування, включаючи:

• Дві критичні втечі з пісочниці з CVSS 10.0: CVE-2026-39861 (втеча з пісочниці через символічне посилання) та CVE-2026-25725 (обхід пісочниці через settings.json)
• CVE-2026-46406 (червень 2026 року): команда /copy записувала відповіді у жорстко заданий загальнодоступний тимчасовий шлях /tmp/claude/response.md, дозволяючи будь-якому локальному користувачеві читати секрети
• Дослідження Check Point (лютий 2026 року): критичні вразливості (CVE-2025-59536, CVE-2026-21852), що дозволяють виконання віддаленого коду та крадіжку ключів API через зловмисні файли конфігурації на рівні репозиторію

Міжгалузеві дослідження показують, що це не унікально для Anthropic:

• GhostApproval (Wiz, липень 2026 року): Вразливості символічних посилань у шести AI-асистентах кодування (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) дозволяють замінованому репо змусити інструмент записувати у чутливий файл, поки користувач схвалює запис у нешкідливий
• SymJack (Adversa AI, травень 2026 року): Атака перехоплення символічного посилання, що досягає RCE на шести продуктах (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Користувач схвалює копіювання файлу; ядро записує в інше місце
• TrustFall (Adversa AI, травень 2026 року): MCP-сервери, визначені в репозиторії, виконуються автоматично, щойно користувач приймає запит на довіру до папки

Основна архітектурна напруга є послідовною в усій галузі: AI-агентам кодування потрібен широкий доступ до файлової системи, оболонки та мережі, щоб бути корисними — але цей підвищений доступ є тим самим привілеєм, який потрібен атакувальнику. Кожна втеча з пісочниці, обхід шляху та обхід діалогу довіри випливають з однієї й тієї ж проблеми . Поверхня атаки не зменшується; нові функції додають нові вектори швидше, ніж існуючі патчаться.