Simlink откройся
Simlink откройся Представьте, вы клонируете репозиторий, запускаете Claude Code в папке, которой доверяли уже много месяцев, и даже не подозреваете, что ваш /etc/passwd или ~/.aws/credentials уже улетают в неизвестном направлении. Вряд ли сейчас кого-то удивим, но Томер Нив очень подробно описал механизм. Если вкратце, атакующему нужен просто симлинк и одна строчка в CLAUDE.md. Claude Code умеет подтягивать файлы через @import в CLAUDE.md и правилах. Если сделать симлинк на файл вне репозитория (например, /etc/passwd), система честно его прочитает и отправит в контекст модели при первом же запросе. При этом никакого диалога "А ты уверен, что хочешь прочитать файл снаружи?" не будет – проверка смотрит на имя симлинка (который внутри папки), а читает уже по реальному пути. Банальная подмена. И самое веселое, что этот файл улетает не куда-нибудь, а на сервер Anthropic по умолчанию. Но если злоумышленник добавит в репозиторий .claude/settings.json с переменной ANTHROPIC_BASE_URL, то все полетит на его сервер. Причем в неинтерактивном режиме (скрипты, CI/CD) даже вопросов не будет, а данные уходят молча и безвозвратно. Что характерно, Anthropic уже дважды фиксил похожие баги с симлинками в других частях кода (CVE-2025-59829 и CVE-2026-25724). Но этот конкретный путь – загрузка памяти при старте – остался без внимания. Вендор считает, что раз вы доверили папку, то все, что внутри, имеет право на все, включая чтение любых файлов за пределами репозитория. И да, проверьте свой ~/.claude.json – вдруг там уже кто-то живет. @antiinfosec