Една седмица след като разкри, че интеграцията Claude Tag за Slack на Anthropic може да бъде управлявана от обикновен текст „@Claude“, днес Tego AI публикува второ проучване за екосистемата на Claude.

Този път фокусът е върху Claude Code – агентния инструмент за програмиране с команден ред на Anthropic.

Клонирането на обикновено хранилище и стартирането на Claude Code може да накара инструмента да прочете файл извън проекта и да го включи в първата заявка към модела, без предупреждение или подкана за одобрение, която потребителят би разпознал.

Техниката е стандартна и това е част от причината да е важна. Дадено хранилище може да съдържа на пръв поглед нормален файл с инструкции, CLAUDE.md, чиято директива @import сочи към символна връзка (symbolic link).

Когато разработчик клонира хранилището и стартира Claude Code, инструментът следва връзката до съответния файл, включително до файлове далеч извън проекта, и вгражда съдържанието на този файл в първата заявка, която изпраща към модела.

Не се задейства извикване на инструмент и не се появява одобрение за редактиране на файл. Диалоговият прозорец, който Claude Code използва за улавяне на четения извън проекта, също не се появява, тъй като проверява името на връзката в хранилището (например ./link), а не външния файл, до който тя води.

Целият механизъм за доставка е файл в хранилището с име link, който самият GitHub обозначава като символна връзка, сочеща към /etc/passwd, видима за всеки, който разглежда хранилището.

„Контекстът е всичко, което се изпраща към модела, а моделът е мрежова крайна точка като всяка друга“, заявява Томер Нив, ръководител на изследванията в Tego AI. „Така че това не е файл, който тихо стои в промпта. Клонирате хранилище, отговаряте на същия въпрос „доверявате ли се на тази папка?“, на който винаги отговаряте, и файл извън това хранилище може да напусне вашата машина още при първата заявка, без изпълнение на код, без съдействие от модела и без сървър, който атакуващият трябва да поддържа.“

Резултатът е, че съдържанието на файла извън проекта се появява в тялото на заявката, която Claude Code изпраща при стартиране на сесията. Данните напускат локалната машина като част от изходящата заявка, вместо да останат само в локалния контекст на модела.

Anthropic вече е коригирала този клас уязвимост два пъти. Това, което прави новия доклад забележителен, е мястото, където се намира дефектът, а не че моделът на атака е нов.

Същият пропуск – проверка за сигурност, четяща един път, докато файловата система следва символна връзка към друг – преди това се появи в Claude Code и беше отстранен правилно в CVE-2025-59829 и CVE-2026-25724. И двата случая бяха съобщени чрез HackerOne и разрешени в подсистемата за разрешения.

Проучването на Tego AI показва, че същият дефект е останал наличен в трети път на изпълнение на кода – инструмента за зареждане на паметта при стартиране, който тези корекции никога не са достигнали. Този път е и този, който изпраща намереното в мрежата, преди моделът да е предприел каквото и да е действие.

Техническият документ описва също, че качен в хранилището файл с настройки може да пренасочи изходящата крайна точка на Claude Code към хост, избран от автора на хранилището – отделно известно поведение.

Компрометираният файл трябва само да бъде достъпен за четене от акаунта на самия разработчик. Това е реалистично условие в CI среди за изпълнение, контейнери и стандартизирани изображения за разработчици, където чувствителните файлови пътища често са предвидими.

Акцентът на Tego AI е върху самата граница на сигурност, а не върху единичен бъг. Компанията докладва проблема на Anthropic чрез HackerOne през юли 2026 г., а Anthropic го затвори със статус „Информативен“ (Informative).

Аргументът на Anthropic е последователен и ясно изразен: съгласно модела на заплахи на Claude Code, диалоговият прозорец „доверие на тази папка“ е границата на сигурност и приемането му вече дава на проекта широк достъп за четене, редактиране и изпълнение. Tego AI не оспорва, че Anthropic прилага декларирания си модел последователно.

„Разбираме модела. Нашето разкритие е спор относно неговите условия“, споделя Нив. „От едно единствено щракване върху „доверявам се на тази папка“ се изисква да носи огромна тежест в най-неинформирания възможен момент, преди да сте видели каквото и да прави хранилището. То не може да направи разлика между „изпълни кода ми“ и „прочети SSH ключа ми и го изпрати по пощата“, а в много реални конфигурации това щракване е наследено от родителска директория и никога не се показва действително за конкретното хранилище. Тъй като предприятията внедряват ИИ агенти за кодиране, това е точно границата, за която трябва да могат да разсъждават трезво.“

Разкритието продължава тема от изследванията на Tego AI: при корпоративните ИИ агенти неразрешеният въпрос е авторизацията, тоест кой или какво има право да дава инструкции на агента и да достъпва неговите данни и свързани системи. Изследването на Claude Tag повдигна този въпрос за входящо съобщение в Slack. Това изследване го повдига за обикновено клониране на Git хранилище.

Tego AI отбелязва, че атаките със символни връзки са от десетилетия и че Anthropic многократно е укрепвала Claude Code срещу тях добросъвестно. Компанията публикува техническото описание, за да могат потребителите и екипите по сигурността да преценят точно какво дава на практика разрешението „доверие на тази папка“.

Tego AI потвърди поведението при Claude Code версия 2.1.x.