Die versteckte Bedrohung von Claude Code, ein Projekt in eine Anmeldelücke zu öffnen

Cybersecurity-Forscher haben in Claude Code, dem Anthropisch-getriebenen Programmierassistenten, schwere Fehler entdeckt, die von der Remote-Befehlsausführung bis zur API-Schlüsseldiebstahl erlauben. Laut der öffentlichen Analyse von Check Point nutzen Probleme legitime Konfigurationsmechanismen wie "hooks", Model Context Protocol (MCP) Server und Umgebungsvariablen, um willkürliche Aufträge auszuführen und Anmeldeinformationen zu filtern, wenn ein Entwickler kloniert und ein schädliches Repository öffnet. Sie können den Checkpoint-Bericht hier lesen: Prüfstelle Forschung und die technische Studie auf ihrer Website erweitert: CER und API nehmen Exfiltration durch Claude Code Projektdateien.

Die Schwachstellen zeichnen sich dadurch aus, dass sie das Risiko perimeter neu definieren: Es geht nicht mehr nur darum, bösartigen Code auf einem Computer zu laufen, sondern darum der Akt der Eröffnung eines Projekts kann genug sein, um die Anmelde- und Startbefehle zu kompromittieren. In diesem speziellen Fall könnten Konfigurationen, die in Dateien des Repository selbst enthalten sind - z.B. .claude / Settings.json oder .mcp.json - das Kundenverhalten verändern und ausgehende Anrufe verursachen, bevor der Benutzer bestätigt, dem Projekt zu vertrauen. Das Ergebnis war, dass aktive Anthropische Schlüssel an Server gesendet werden konnten, die von einem Angreifer kontrolliert werden, oder dass die Initialisierung externer Integrationen ohne Zustimmung erzwungen werden konnte.

Die Urteile wurden in mehrere Kategorien eingestuft und einige haben bereits öffentliche Kennungen (CVE). Ein Problem ohne gemeldete CVE, mit hoher Schwerkraft (CVSS 8.7), erlaubt, Zustimmungsmechanismen zu überspringen, indem Claude Code in einem neuen Verzeichnis und Aktivierung von Haken durch das Projekt definiert. Ein weiterer als CVE-2025-59536 Es erlaubte auch die Codeinjektion durch die Handhabung der MCP-Konfiguration und der Option, die MCP-Server des Projekts ermöglicht. Schließlich CVE-2026-21852 Es beeinflusste den Informationsfluss im Lastfluss des Projekts, so dass das Senden von Schlüsseln an Gegner Endpunkte, bevor die Mitteilung des Vertrauens. Die Korrekturen wurden in unterschiedlichen Versionen des Clients veröffentlicht: So enthalten die Version 1.0.87, 1.0.111 und der Zweig 2.0.65 Patches für diese Fehler.

Anthropische Dokumente, wie die Integrationen und die Konfigurationsmechanismen funktionieren; die Hooks-Leitfaden und der Einstellungsabschnitt helfen zu verstehen, wohin die Operation ging: Hooks Guide und die Anpassungsseite Aufmachungen wo es die Option gibt, die die Eskalation der Privilegien erlaubte (" AlleProjectMcpServer aktivieren"), als es durch Repository-Dateien aktiviert wurde.

Die praktischen Auswirkungen sind störend. Ein Angreifer, der einen API-Schlüssel erfasst, kann den authentifizierten Verkehr auf die von ihm kontrollierte Infrastruktur umleiten, Dienste im Auftrag des Opfers konsumieren (erzeugt unerwartete Kosten), Dateien in freigegebenen Projekten einfügen oder löschen oder einfach diese Position verwenden, um sich seitlich innerhalb von Cloud-Umgebungen zu bewegen. Kurz gesagt, es gibt eine Möglichkeit, Ressourcen zu nutzen, die traditionell durch Barrieren geschützt wurden, die von diesen Entwicklungshelfern betrieben werden.

Angesichts dieser Szenarien ist die unmittelbare Reaktion technisch und betriebsbereit. Einerseits hat Anthropic Patches veröffentlicht und ist fundamental Claude Code auf die korrigierten Versionen aktualisieren die diese Angriffsvektoren schließen. Die Hinweise und Korrekturen erscheinen in den Sicherheits-Repositories: Überprüfen Sie die offiziellen Hinweise in GitHub, um die Version zu bestätigen, die Sie anwenden sollten: Berater. Auf der anderen Seite, gute Entwicklung Praktiken wieder die Führung: die Verwaltung von Anmeldeinformationen mit weniger privilegierten Richtlinien, rotierende engagierte Schlüssel und die Vermeidung von dauerhaften Schlüsseln in unisolierten Arbeitsumgebungen sind Maßnahmen, die Auswirkungen reduzieren, wenn ein Leck auftritt.

Neben Patches und der Verdrehung von Geheimnissen sollte die Art und Weise, wie Drittprojekte vertrauen, neu überdacht werden. In professionellen Umgebungen öffnen Sie ein unbekanntes Repository innerhalb des gleichen Kontexts, in dem Werkzeuge mit Laufkapazität und Netzwerk sollten isolierte virtuelle Container oder Maschinen, ephemere Testumgebungen oder einen Verifikationsprozess, der die Konfigurationsdateien überprüft, bevor es die Initialisierung erlaubt. Es wird auch empfohlen, Optionen zu deaktivieren, die automatische MCP-Server oder Haken-Ausführungen aktivieren, bis sie ihren Ursprung validiert haben.

Über die unmittelbaren Empfehlungen hinaus unterstreicht der Claude Code Fall eine breitere Transformation in der Angriffsfläche: die Konfigurationsdateien und die Automatisierungsschichten Teil der Ausführungsebene werden. Was zuvor als Operationskontext wahrgenommen wurde - wie ein Werkzeug orchestriert wird - kann nun Verhaltensweisen bestimmen, die die Sicherheit des Systems beeinflussen. Dadurch beginnt die Software-Lieferkette in der Welt der IA-gestützten Werkzeuge nicht nur mit dem Quellcode, sondern mit den Teilen, die diesen Code automatisieren, integrieren und erweitern.

Für diejenigen, die IA-gesteuerte Codeassistenten verwenden, ist die praktische Anmerkung klar: Update, Audit und Isolate. Durch zuverlässige Quellen informiert zu bleiben hilft, das Risiko zu messen; neben der Check Point-Analyse sind Sicherheitshinweise in offiziellen Repositorien und Anthropischen Dokumentationen erforderlich, um für Manager und Entwickler, die sich für den Schutz ihrer Umgebung interessieren. Überprüfen Sie die Berichte und Hinweise, die mit diesen Vorfällen in den Referenzlinks zusammenhängen: Prüfstelle Forschung, die technische Untersuchung der Prüfstelle ( Forschung) und Anthropics Berater in GitHub ( Keine CVE Beratung, CVE-2025-59536, CVE-2026-21852)

Letztlich dient die Geschichte als Erinnerung daran, dass die Annahme von leistungsstarken Werkzeugen unstreitbare Vorteile bringt, aber es erfordert auch das Umdenken der Sicherheit von Schichten, die bisher als harmlos betrachtet wurden. Um schnell zu aktualisieren und Workflows zu entwerfen, die keine Geheimnisse freisetzen oder automatische Ausführungen in nicht isolierten Umgebungen ermöglichen, sind wesentliche Schritte, um diese Werkzeuge zu nutzen, ohne sie in eine Eingangstür für Angreifer zu verwandeln.