Claude Code 驚現漏洞！一個 `CLAUDE.md` 檔案就偷走你電腦啲機密

個攻擊點樣運作

呢個漏洞嘅核心係一個「來源檢查不匹配 (provenance mismatch)」嘅問題：

1. 黑客製作一個有問題嘅 repo，入面有個好似好正常嘅 CLAUDE.md 檔案，用 @import 指向 repo 入面另一個檔案，例如 @./link 。
2. 嗰個 link 檔案其實係一個 Git 入面嘅符號連結 (Git mode 120000)，指向 repo 以外嘅檔案，例如 /etc/passwd 或者 ../../../../home/user/.ssh/id_rsa。Git clone 嘅時候係會保留呢啲 symlink 嘅 。
3. 當開發者 clone 咗個 repo 然後開 Claude Code，記憶體載入器 (memory loader) 會讀 CLAUDE.md，見到 @./link 呢個 import。佢會檢查呢個路徑嘅字面位置 (./link) 係咪喺專案入面 — 係㗎 — 所以就當係「內部 import」，唔會彈出外部 import 嘅確認對話框 。
4. 之後載入器就會跟住條 symlink 去讀真正嘅目標檔案，而呢個檔案係喺專案以外嘅，將啲內容放入模型嘅第一個請求上下文 。
5. 呢啲內容喺第一次向 Anthropic API 發出請求嗰陣就會傳走 — 模型都未做任何動作，又冇任何工具調用顯示畀用戶睇，用戶完全見唔到任何警告 。
6. 黑客仲可以選擇，利用另一個已知嘅 ANTHROPIC_BASE_URL 設定，將 API 請求 redirect 去自己控制嘅伺服器，咁就完成咗整個資料竊取 。

呢個發現嘅新穎之處唔係 Claude Code 會跟 symlink — 呢個係設計一部份。個問題係繞過咗同意機制：外部 import 嘅檢查係針對未解析嘅字面路徑，但實際讀取係針對解析咗之後嘅真實路徑。而呢個記憶體載入器嘅程式碼路徑，之前一直冇套用過 Claude Code 權限子系統嗰兩次 symlink 修復 。

Anthropic 嘅回應

Tego AI 喺 2026年7月透過 HackerOne 報告咗呢個問題。Anthropic 將呢份報告標記為「僅供參考 (Informative)」 — 佢哋認為呢個唔係保安漏洞 。

Anthropic 嘅理由：根據 Claude Code 嘅威脅模型，「信任呢個資料夾 (trust this folder)」 呢個對話框就係安全界線。接受呢個對話框已經意味住授權畀個專案好大嘅讀取、編輯同執行權限。Tego AI 冇否認 Anthropic 係一致咁用呢個模型，但係堅持呢個發現仍然有意義，因為啲資料係自動、靜靜雞、而且喺用戶唔知情嘅情況下傳走嘅 。

值得留意嘅係，同樣嘅 symlink 繞過安全檢查模式，之前已經喺 Claude Code 嘅權限子系統入面修復咗兩次：

• CVE-2025-59829（2025年9月修復）：symlink 繞過 deny 規則嘅檔案權限問題
• CVE-2026-25724（2026年1月修復）：同一模式再一次，symlink 繞過 deny 規則

兩次修復都係喺檢查權限之前先解析 symlink — 但呢個修復從來冇應用喺記憶體載入器嘅程式碼路徑上 。

更大嘅圖畫：Claude 生態系統嘅問題同 AI 編碼工具安全

Tego AI 今次嘅公開係一星期內第二個 Claude 生態系統嘅漏洞。喺2026年7月14號，Tego 先公開咗 Claude Tag 嘅 Slack 整合 可以被任何訊息入面嘅純文字 @Claude 觸發，可能會導致未經授權嘅企業操作 。

除咗 Tego 嘅研究，Claude Code 喺大約一年嘅時間入面已經累積咗至少 28 個 CVE，包括：

• 兩個 CVSS 10.0 嘅嚴重沙箱逃脫漏洞：CVE-2026-39861 (symlink 沙箱逃脫) 同 CVE-2026-25725 (settings.json 沙箱繞過)
• CVE-2026-46406 (2026年6月)：/copy 指令將回應寫入一個硬編碼嘅全局可讀臨時路徑 /tmp/claude/response.md，令到任何本地用戶都可以讀到機密
• Check Point 研究 (2026年2月)：嚴重漏洞 (CVE-2025-59536, CVE-2026-21852) 可以透過惡意嘅 repo 級設定檔案實現遠端程式碼執行同 API 金鑰偷取

跨行業嘅研究顯示呢個問題唔係 Anthropic 獨有：

• GhostApproval (Wiz, 2026年7月)：六個 AI 編碼輔助工具 (Amazon Q Developer、Anthropic、Cursor、Google Gemini、GitHub Copilot、Vercel) 嘅 symlink 漏洞，可以令一個有問題嘅 repo 喺用戶同意編輯一個無害檔案嘅同時，實際寫入一個敏感檔案
• SymJack (Adversa AI, 2026年5月)：一個單一嘅 symlink 劫持攻擊可以喺 六個產品 (Claude Code、Gemini CLI、Cursor、Copilot、Grok Build、Codex CLI) 實現遠端程式碼執行。用戶批准一個檔案複製，但係核心寫咗去第個地方
• TrustFall (Adversa AI, 2026年5月)：repo 定義嘅 MCP 伺服器，一旦用戶接受資料夾信任提示就會自動執行

呢啲問題背後嘅根本架構矛盾成行都係咁：AI 編碼代理需要好大嘅檔案系統、Shell 同網絡權限先至有用 — 但係呢啲高度權限正正就係攻擊者需要嘅。每一個沙箱逃脫、路徑遍歷、信任對話框繞過都係嚟自同一個挑戰 。攻擊面唔係縮細緊；新功能帶嚟嘅新攻擊向量仲快過修復現有嘅漏洞。