CVE-2026-55607: Побег из песочницы Claude Code через worktree — чеклист аудита версий для операторов

Вредоносный репозиторий может вынудить Claude Code покинуть macOS sandbox, записать файлы за пределами разрешённого каталога и выполнить произвольный код с правами разработчика. Это задокументированное воздействие CVE-2026-55607, опубликованного Anthropic 29 июня 2026 года, с оценкой CVSS v3.1 8.8 (High).

Уязвимость устранена. Однако в gateway-средах и многопользовательских инфраструктурах, где инженерные команды используют Claude Code через общую платформу, «исправлено в upstream» автоматически не означает «исправлено там, где работают ваши пользователи».

Что произошло

CVE-2026-55607 затрагивает версии Claude Code с 2.1.38 по 2.1.162. Исправление выпущено в 2.1.163.

Полная цепочка атаки, задокументированная в GitHub Advisory GHSA-7835-87q9-rgvv, требует специально подготовленного репозитория и запуска уязвимой версии Claude Code против него:

1. Вредоносный репозиторий содержит каталог worktree с именем .git — необычный, но прежде допустимый путь.
2. Через манипуляцию указателем gitdir и разыменование символических ссылок метаданные worktree резолвятся за пределами предполагаемой границы файловой системы репозитория.
3. Git-хук core.fsmonitor срабатывает при выполнении обычной команды Git, запуская код, контролируемый атакующим.
4. Этот код модифицирует файл запуска shell (.zshrc, .bash_profile или аналогичный), устанавливая персистентность до того, как macOS Seatbelt успевает изолировать процесс.
5. Код выполняется с полными правами пользователя-разработчика.

Каждый шаг эксплуатирует функцию, разумную в отдельности: агентные репозитории могут содержать worktree, Git поддерживает fsmonitor-хуки, файлы запуска shell выполняются при открытии терминала. Уязвимость — в том, как эти функции взаимодействуют. Это типичный паттерн для поверхности атаки agentic-инструментов.

Предварительное условие — клонирование и запуск Claude Code против вредоносного репозитория — звучит ограничивающе, но таковым не является. Разработчики регулярно клонируют незнакомые репозитории для code review, воспроизведения багов, security-исследований, оценки пакетов, выполнения тестовых заданий и работы с open source. Coding agent специально создан для чтения таких репозиториев и выполнения их инструкций. Рабочий процесс, необходимый для атаки, неотличим от обычных действий разработчика.

Почему это важно для AI-инженерных команд

Версионный разрыв шире, чем кажется. Между 2.1.38 и 2.1.162 — около 120 минорных релизов. Если команда зафиксировала Claude Code на «стабильной» версии без агрессивного обновления, она могла месяцами работать в уязвимом диапазоне без единого инцидента — и без осведомлённости о риске.

Gateway-среды с Claude Code требуют явного принудительного контроля версий. Когда Claude Code развёртывается через общий gateway — с ANTHROPIC_BASE_URL, указывающим на внутренний прокси или AI router, — gateway видит модельный трафик, но не видит версию клиента. Разработчик, использующий старый CLI против современного gateway, по-прежнему создаёт риск на уровне хоста. Gateway не может защитить его.

Косвенный prompt injection — это вектор доставки, а не побочная деталь. CVE-2026-55607 классифицирован по CWE-78 (инъекция OS-команд) и CWE-22 (path traversal), однако доставляется через косвенный prompt injection: текст репозитория влияет на поведение agent, запуская небезопасную последовательность вызовов инструментов. Через две недели после публикации advisory на YouTube появилось видео с демонстрацией полной цепочки атаки. Это не теоретическая угроза.

Усиление защиты в 2.1.210 — связанное, но независимое исправление. Патч 2.1.163 устранил конкретную путаницу с путями worktree. Более поздний релиз 2.1.210 добавил более широкую защиту: Agent tool теперь отклоняет содержимое субагентов, которое содержит признаки инъецированных инструкций. Эти два уровня дополняют друг друга. Если вы устранили только CVE, исправление из 2.1.210 может по-прежнему быть актуальным для вашей модели угроз.

Операторский угол

Команды, запускающие Claude Code через AI gateway, сталкиваются с двумя независимыми поверхностями риска:

1. Клиентская (риск на уровне хоста): Разработчик использует старую версию Claude Code и клонирует вредоносный репозиторий. Это эксплуатация на уровне хоста — gateway не может её наблюдать или заблокировать.

2. Gateway (prompt injection через субагент): Сессия Claude Code маршрутизирует вызовы субагентов через ваш gateway. Если субагент читает внешний контент (веб-страница, ответ инструмента, payload стороннего API), содержащий инъецированные инструкции, и этот контент передаётся в последующий вызов модели, инъекция может распространиться. Проверка контента на уровне gateway и фильтрация вывода субагентов — соответствующие механизмы контроля.

Действия оператора:

• Установите минимальную версию. Добавьте версионную границу Claude Code во внутреннюю документацию по онбордингу и политику разработчиков. Безопасная нижняя граница — 2.1.163; рекомендуется обновиться до текущего релиза (2.1.211 на момент написания), который включает все последующие усиления безопасности.
• Проведите аудит общих CI/CD-сред. Если Claude Code вызывается в CI-пайплайнах или контейнерных сборочных средах, проверьте установленную в этих образах версию. Кешированные Docker-слои могут фиксировать устаревшую версию.
• Рассмотрите whitelist репозиториев для agentic-сессий. Для сессий Claude Code, работающих с внешними или незнакомыми кодовыми базами, убедитесь, что настройки sandbox на хосте (claudeSandbox, профиль macOS Seatbelt) применены и актуальны.
• Включите проверку входящего контента на уровне gateway. Если ваш AI gateway поддерживает инспекцию контента на уровне запросов или инъекцию системного prompt (добавление safety-фрейма перед вызовом модели), применяйте это к сессиям, где субагенты Claude Code могут обрабатывать внешний контент репозиториев.
• Активно отслеживайте CHANGELOG Claude Code. Исправления безопасности не всегда оформляются с явной меткой. Claude Code публикует CHANGELOG.md в своём репозитории. Исправление 2.1.163 зафиксировано там; усиление Agent tool в 2.1.210 — тоже. Подпишитесь на уведомления о релизах, чтобы не пропустить обновления, связанные с безопасностью.

Что стоит проверить пользователям AI gateway

CVE-2026-55607 показывает структурный разрыв: AI gateway маршрутизирует трафик model API, но безопасность хоста разработчика зависит от клиентского инструментария, которым gateway не управляет. Эти два уровня требуют отдельных политик.

Для команд, маршрутизирующих Claude Code через общий AI gateway:

• Убедитесь, что на всех машинах разработчиков с Claude Code установлена версия не ниже 2.1.163, а в идеале — текущий релиз.
• Проверьте конфигурацию системного prompt gateway для agentic-сессий: включена ли там напоминание о недоверенном внешнем контенте?
• Выясните, предоставляет ли ваш gateway механизм версионной отчётности, позволяющий аудировать, какая версия CLI генерирует каждую сессию.

Рекомендуемую конфигурацию для корпоративных и многопользовательских gateway-развёртываний см. в документации Claude Code.