Lỗ hổng Symlink Claude Code: File CLAUDE.md có thể âm thầm đánh cắp dữ liệu của bạn

Vào ngày 24 tháng 7 năm 2026, Tego AI đã tiết lộ một lỗ hổng bảo mật trong Claude Code của Anthropic cho phép một repository độc hại âm thầm đánh cắp các file từ máy tính của lập trình viên. Cuộc tấn công khai thác sự không khớp về nguồn gốc (provenance mismatch) trong cách Claude Code xử lý các liên kết tượng trưng (symbolic links) trong file hướng dẫn dự án CLAUDE.md. Khi một lập trình viên clone một repository và chạy Claude Code, một symlink bên trong repo có thể khiến công cụ đọc các file từ bên ngoài dự án và đưa nội dung của chúng vào yêu cầu mô hình đầu tiên — mà không có cảnh báo, không có hộp thoại phê duyệt và không có lệnh gọi công cụ hiển thị .

Cách thức hoạt động của cuộc tấn công

Lỗ hổng này xoay quanh một sơ suất đơn giản nhưng nghiêm trọng trong bộ tải bộ nhớ (memory loader) của Claude Code:

1. Một repository độc hại chứa một file CLAUDE.md trông có vẻ bình thường với một chỉ thị @import trỏ đến một file trong repo — ví dụ: @./link .
2. File đó là một liên kết tượng trưng do Git lưu trữ (mode 120000 trong Git) trỏ đến một mục tiêu bên ngoài repository, chẳng hạn như /etc/passwd hoặc ../../../../home/user/.ssh/id_rsa. Git giữ nguyên các symlink khi clone .
3. Khi một lập trình viên clone repo và khởi chạy Claude Code, bộ tải bộ nhớ đọc CLAUDE.md và gặp import @./link. Nó kiểm tra xem đường dẫn từ vựng (lexical path) (./link) có nằm trong dự án hay không — có — do đó import được phân loại là "nội bộ" và không có hộp thoại phê duyệt import bên ngoài nào xuất hiện .
4. Bộ tải sau đó theo symlink đến file mục tiêu thực tế bên ngoài dự án, đọc nội dung của nó và đặt chúng vào cửa sổ ngữ cảnh ban đầu của mô hình .
5. Nội dung rời khỏi máy trong yêu cầu gửi đi đầu tiên đến API của Anthropic — trước khi mô hình thực hiện bất kỳ hành động nào và không có bất kỳ lệnh gọi công cụ hiển thị nào. Người dùng không thấy cảnh báo nào .
6. Tùy chọn, một cài đặt ANTHROPIC_BASE_URL đã được biết đến trong repo có thể chuyển hướng điểm cuối gửi đi đến một máy chủ mà kẻ tấn công kiểm soát, hoàn tất quá trình đánh cắp .

Phát hiện mới không phải là Claude Code theo các symlink — điều đó đã được ghi nhận và có chủ đích. Phát hiện mới là sự bỏ qua sự đồng ý (consent bypass): kiểm tra import bên ngoài chạy dựa trên đường dẫn chưa được giải quyết, thao tác đọc hoạt động trên đường dẫn đã được giải quyết và bộ tải bộ nhớ chưa bao giờ nhận được bản sửa lỗi giải quyết symlink đã được áp dụng cho hệ thống con cấp quyền của Claude Code trong hai CVE trước đó .

Phản hồi của Anthropic

Tego AI đã báo cáo vấn đề thông qua HackerOne vào tháng 7 năm 2026. Anthropic đã đóng báo cáo với trạng thái "Informative" — có nghĩa là họ không coi đây là một lỗ hổng bảo mật theo mô hình mối đe dọa hiện tại của mình .

Lý do của Anthropic: theo mô hình mối đe dọa của Claude Code, hộp thoại "trust this folder" là ranh giới bảo mật. Chấp nhận hộp thoại đó đã cấp cho dự án quyền đọc, chỉnh sửa và thực thi rộng rãi. Tego AI không phản đối rằng Anthropic luôn áp dụng mô hình này một cách nhất quán, nhưng cho rằng phát hiện này vẫn quan trọng vì dữ liệu rời khỏi máy một cách tự động, âm thầm và nằm ngoài nhận thức của người dùng .

Đáng chú ý, cùng một mô hình lỗi symlink-vs.-kiểm tra-bảo-mật đã được sửa hai lần trước đó trong hệ thống con cấp quyền của Claude Code:

• CVE-2025-59829 (đã sửa tháng 9 năm 2025): symlink bỏ qua các quy tắc từ chối trong quyền file
• CVE-2026-25724 (đã sửa tháng 1 năm 2026): cùng một mô hình, bỏ qua quy tắc từ chối qua symlink

Cả hai bản sửa lỗi trước đó đều giải quyết symlink trước khi kiểm tra quyền — nhưng bản sửa lỗi đó chưa bao giờ được áp dụng cho đường dẫn mã của bộ tải bộ nhớ .

Mô hình rộng hơn: Hệ sinh thái Claude và Bảo mật Công cụ Mã hóa AI

Tiết lộ của Tego AI là lỗ hổng hệ sinh thái Claude thứ hai trong một tuần. Vào ngày 14 tháng 7 năm 2026, Tego đã tiết lộ rằng tích hợp Slack của Claude Tag có thể được kích hoạt bởi văn bản @Claude đơn thuần trong bất kỳ tin nhắn nào, có khả năng cho phép các hành động doanh nghiệp trái phép .

Ngoài nghiên cứu của Tego, Claude Code đã tích lũy ít nhất 28 CVE trong khoảng một năm tồn tại, bao gồm:

• Hai lỗ hổng thoát khỏi sandbox CVSS 10.0 nghiêm trọng: CVE-2026-39861 (thoát khỏi sandbox qua symlink) và CVE-2026-25725 (bỏ qua sandbox qua settings.json)
• CVE-2026-46406 (tháng 6 năm 2026): lệnh /copy đã ghi phản hồi vào một đường dẫn tạm thời có thể đọc được toàn cầu được mã hóa cứng /tmp/claude/response.md, cho phép bất kỳ người dùng cục bộ nào đọc được bí mật
• Nghiên cứu của Check Point (tháng 2 năm 2026): các lỗ hổng nghiêm trọng (CVE-2025-59536, CVE-2026-21852) cho phép RCE và đánh cắp khóa API thông qua các file cấu hình cấp repository độc hại

Nghiên cứu liên ngành cho thấy điều này không chỉ riêng ở Anthropic:

• GhostApproval (Wiz, tháng 7 năm 2026): Các lỗ hổng Symlink trong sáu trợ lý mã hóa AI (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) cho phép một repo bẫy khiến công cụ ghi vào một file nhạy cảm trong khi người dùng phê duyệt việc ghi vào một file vô hại
• SymJack (Adversa AI, tháng 5 năm 2026): Một cuộc tấn công chiếm quyền điều khiển symlink duy nhất đạt được RCE trên sáu sản phẩm (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Người dùng phê duyệt sao chép file; kernel ghi vào nơi khác
• TrustFall (Adversa AI, tháng 5 năm 2026): Các máy chủ MCP do repo xác định tự động thực thi sau khi người dùng chấp nhận lời nhắc tin cậy thư mục

Căng thẳng kiến trúc cơ bản là nhất quán trong toàn ngành: các tác nhân mã hóa AI cần quyền truy cập rộng rãi vào hệ thống file, shell và mạng để có thể hữu ích — nhưng quyền truy cập nâng cao đó cũng chính là đặc quyền mà kẻ tấn công cần. Mọi lỗ hổng thoát khỏi sandbox, vượt qua đường dẫn và bỏ qua hộp thoại tin cậy đều bắt nguồn từ cùng một thách thức này . Bề mặt tấn công không thu hẹp lại; các tính năng mới bổ sung các vectơ mới nhanh hơn so với việc vá các vectơ hiện có.