CVE-2026-55607：Claude Code Worktree 沙箱逃逸——运营商版本审计与策略清单

一个恶意代码仓库可以指挥 Claude Code 逃出 macOS 沙箱、向预期目录以外写入文件、并以开发者权限执行任意代码——这是 Anthropic 于 2026 年 6 月 29 日发布的 CVE-2026-55607 的官方记录影响，CVSS v3.1 评分 8.8（高危）。

该漏洞已有补丁。但在通过共享基础设施向工程团队提供 Claude Code 的 Gateway 与多用户环境中，"上游已修复"并不等于"用户实际运行的版本已修复"。

发生了什么

CVE-2026-55607 影响 Claude Code 2.1.38 至 2.1.162 版本，2.1.163 版本中已修复。

GitHub Advisory GHSA-7835-87q9-rgvv 记录的完整攻击链需要一个经过恶意构造的仓库以及受影响版本的 Claude Code：

1. 恶意仓库中包含一个以 .git 命名的 worktree 目录——这是一个非常规但此前被接受的路径。
2. 通过 gitdir 指针操控和符号链接跟踪，worktree 元数据解析到仓库预期边界之外。
3. 一个 core.fsmonitor Git hook 在常规 Git 命令执行时被触发，运行攻击者控制的代码。
4. 该代码修改 shell 启动文件（如 .zshrc、.bash_profile），在 macOS Seatbelt 沙箱完全建立前实现持久化。
5. 代码随即以开发者完整用户权限执行。

每一步都利用了一个独立看来合理的功能：Agent 仓库可以包含 worktree，Git 支持 fsmonitor hook，shell 启动文件在终端打开时自动运行。漏洞在于这些功能的组合方式——这是 agentic 工具攻击面中的典型模式。

触发该漏洞的前提——克隆并对恶意仓库运行 Claude Code——听起来限制很强，实则不然。开发者日常会为代码审查、Bug 复现、安全研究、依赖包评估、面试练习和开源贡献克隆陌生仓库。编程 Agent 正是被设计来读取这些仓库并执行其中指令的。漏洞的触发路径就是普通的开发者行为。

为何 AI 工程团队需要关注

版本差距比看上去更大。 从 2.1.38 到 2.1.162 跨越了约 120 个小版本。如果团队将 Claude Code 固定在某个"稳定"版本并未积极更新，可能在受影响区间内运行了数月，既未触发事件，也不知晓风险。

通过 Gateway 部署的 Claude Code 环境需要明确的版本强制执行。 当 Claude Code 通过共享 Gateway 部署——将 ANTHROPIC_BASE_URL 指向内部代理或 AI Router——Gateway 可以看到模型流量，却无法看到客户端版本。使用旧版 CLI 的成员通过现代 Gateway 发出请求，仍然面临宿主机级别的安全风险。Gateway 无法替他们提供保护。

间接 prompt injection 是投递机制，而非附带问题。 CVE-2026-55607 被归类于 CWE-78（OS 命令注入）和 CWE-22（路径遍历），但其投递方式是间接 prompt injection：仓库文本影响 Agent 行为，进而触发不安全的工具调用序列。Advisory 发布两周后，YouTube 上已出现完整攻击链的概念验证视频。这不是理论威胁。

2.1.210 的加固是相关但独立的修复。 2.1.163 修复了特定的 worktree 路径混淆问题。后续的 2.1.210 版本增加了更广泛的防御：Agent 工具现在会拒绝包含疑似注入指令的子 Agent 内容。这两层防御相互补充。如果你只修复了 CVE 本身，2.1.210 的修复可能仍与你的威胁模型相关。

Router/Operator 视角

通过 AI Gateway 运行 Claude Code 的团队面临两个独立的风险面：

1. 客户端（宿主机风险）： 开发者使用旧版 Claude Code 克隆了恶意仓库。这是宿主机级别的漏洞利用——Gateway 无法观察或拦截。

2. Gateway 端（子 Agent prompt injection）： Claude Code 会话通过 Gateway 路由子 Agent 调用。如果子 Agent 读取了包含注入指令的外部内容（网页、工具响应、第三方 API 载荷），这些内容又传入下游模型调用，注入可能扩散。Gateway 级内容检查和子 Agent 输出过滤是这里对应的管控手段。

运营商策略操作项：

• 强制最低版本。 在团队内部上手文档和开发者策略中加入 Claude Code 版本门槛。安全下限是 2.1.163；建议更新至当前版本（本文写作时为 2.1.211），其中包含后续所有加固。
• 审计共享 CI/CD 环境。 如果 Claude Code 在 CI 流水线或容器化构建环境中被调用，验证这些镜像中安装的版本。缓存的 Docker 层可能锁定旧版本。
• 考虑为 Agentic 会话设置仓库白名单。 对于需要 Claude Code 处理外部或陌生代码库的场景，确认宿主机沙箱配置（claudeSandbox、macOS Seatbelt profile）已启用且为最新。
• 在 Gateway 层启用输入内容检查。 若你的 AI Gateway 支持请求级内容检查或系统提示注入（在模型调用前追加安全框架），将其应用于 Claude Code 子 Agent 可能处理外部仓库内容的会话。
• 主动跟踪 Claude Code CHANGELOG。 安全修复并不总是以明确标签出现。Claude Code 在其仓库中发布公开的 CHANGELOG.md。2.1.163 的修复记录在其中；2.1.210 的 Agent 工具加固同样如此。订阅 Release 通知以捕获安全相关更新。

TheRouter 用户需要关注与尝试的事项

CVE-2026-55607 揭示了一个结构性缺口：AI Gateway 负责路由模型 API 流量，但开发者宿主机安全取决于他们自行管控的客户端工具。这两个层面需要独立的策略。

对于通过共享 AI Gateway 路由 Claude Code 的团队：

• 验证所有运行 Claude Code 的开发者机器版本均不低于 2.1.163，最好升级至当前版本。
• 检查 Gateway 针对 agentic 会话的系统提示配置——是否包含关于不可信外部内容的提醒？
• 确认你的 Gateway 是否提供版本上报机制，允许你审计生成每个会话的 CLI 版本。

关于企业和多用户 Gateway 部署的推荐配置，请参阅 Claude Code 文档。