Descrição da vulnerabilidade
Uma falha de consentimento e proveniência foi identificada no Claude Code, ferramenta de IA da Anthropic. A vulnerabilidade permite que repositórios maliciosos importem arquivos de fora do diretório do projeto através de um symlink de memória, sem acionar o diálogo de aprovação de importação externa. Isso ocorre porque a ferramenta verifica se o @import está dentro de um projeto usando seu caminho visível, mas segue symlinks ao ler o arquivo.
Um repositório malicioso pode colocar uma linha como @./link no CLAUDE.md e comprometer o link como um symlink Git apontando para um arquivo local externo. Por exemplo, o symlink pode levar a /etc/passwd, /proc/self/environ ou outro arquivo legível pelo usuário atual. O conteúdo do arquivo externo é então adicionado ao contexto inicial do modelo antes que o Claude Code possa chamar uma ferramenta de leitura ou executar um comando.
Cadeia de ataque e exfiltração
Por padrão, este conteúdo é enviado para o endpoint da API da Anthropic. No entanto, arquivos .claude/settings.json controlados pelo repositório podem definir ANTHROPIC_BASE_URL, uma configuração de override conhecida que pode direcionar o tráfego do Claude Code para um endpoint diferente. Pesquisadores da Tego demonstraram que os dados importados podem ser exfiltrados para um servidor selecionado pelo repositório.
A questão é particularmente relevante para desenvolvedores que confiaram anteriormente em diretórios pai amplos, como a pasta home, ~/src ou /Users. A confiança do workspace do Claude Code aplica-se a repositórios dentro de diretórios confiados, o que significa que um projeto recém-clonado pode não solicitar um novo diálogo de confiança.
Contexto técnico e versões afetadas
A análise estática identificou a issue na versão 2.1.207, e os testes foram realizados na versão 2.1.215. A falha conecta-se a problemas anteriores de symlink no Claude Code, incluindo CVE-2025-59829 e CVE-2026-25724. Em ambos os casos, a Anthropic abordou uma falha semelhante resolvendo symlinks antes de aplicar verificações de segurança.
Os pesquisadores argumentam que o carregador de memória não recebeu a mesma validação de caminho canônico. Eles recomendam canonicalizar alvos de importação antes de aplicar verificações de contenção e consentimento. Também é aconselhável alertar os usuários quando as resoluções de importação ocorrem fora do repositório.
Impacto para desenvolvedores e empresas
Esta vulnerabilidade representa um risco significativo para a cadeia de suprimentos de software e para a segurança de dados de desenvolvedores. Se um repositório público ou privado for comprometido ou criado maliciosamente, ele pode extrair segredos, chaves de API ou dados sensíveis do ambiente local do desenvolvedor sem seu conhecimento explícito.
A classificação da submissão do HackerOne pela Anthropic como "informativa" sugere que a confiança do workspace é considerada a fronteira de segurança pretendida. No entanto, a falha técnica permite que essa fronteira seja contornada através de manipulação de caminhos de arquivo.
Recomendações de mitigação
Para mitigar este risco, as organizações devem:
- Revisar e auditar repositórios que utilizam o Claude Code, verificando a presença de symlinks não confiáveis.
- Implementar políticas de segurança que impeçam a resolução de symlinks para diretórios fora do workspace do projeto.
- Monitorar o tráfego de saída de máquinas de desenvolvimento para endpoints de API de IA não autorizados.
- Atualizar o Claude Code para as versões mais recentes assim que a correção for disponibilizada pela Anthropic.
- Revisar as configurações de
.claude/settings.jsonpara garantir queANTHROPIC_BASE_URLnão esteja sobrescrito por repositórios externos.
Conclusão
A segurança de ferramentas de IA generativa no fluxo de trabalho de desenvolvimento é crítica. A falha no Claude Code destaca a necessidade de validação rigorosa de caminhos de arquivo e controle de acesso em ferramentas que interagem com o sistema de arquivos local. A correção deve ser priorizada por equipes de DevSecOps.