W świecie narzędzi AI wspierających kodowanie pojawia się nowy, niepokojący wektor ataku - repozytorium może stać się pułapką jeszcze zanim ktoś uruchomi aplikację. Check Point Research opublikował analizę dwóch krytycznych luk w Claude Code od Anthropic. Badacze pokazali, że odpowiednio przygotowane pliki konfiguracyjne w repozytorium mogły sprawić, że po wejściu do katalogu projektu narzędzie automatycznie zastosuje ustawienia i uruchomi działania, które z punktu widzenia użytkownika wyglądają „normalnie”, ale jednocześnie mogą powodować poważne naruszenia bezpieczeństwa.              

Według Check Point atak mógł wykorzystać wbudowane mechanizmy automatyzacji (tzw. Hooks), integracje MCP oraz ustawienia środowiskowe, aby wykonać polecenia systemowe bez dodatkowego kliknięcia. Równolegle możliwe było obejście sensu promptów zaufania i zgody oraz — w innym scenariuszu — przechwycenie aktywnego klucza API poprzez przekierowanie autoryzowanego ruchu do infrastruktury atakującego, zanim użytkownik potwierdził, że ufa danemu projektowi.  

Najgroźniejszy element tej historii to skala ryzyka po kradzieży klucza. Analiza opisuje, że w modelu Workspaces klucze mogły mieć dostęp do współdzielonych plików w chmurze, więc jeden przejęty klucz mógł stać się wejściem do zasobów całego zespołu - od podglądu danych, przez modyfikację i usuwanie plików, aż po generowanie nieautoryzowanych kosztów użycia API.  

- Badanie pokazuje fundamentalną zmianę w tym, jak musimy myśleć o ryzyku w erze AI. Narzędzia do tworzenia oprogramowania z wykorzystaniem AI nie są już dodatkowymi, pobocznymi narzędziami, a stają się elementem infrastruktury. Gdy warstwy automatyzacji zyskują możliwość wpływania na wykonywanie poleceń i zachowanie środowiska, zmieniają się granice zaufania. Organizacje, które przyspieszają wdrażanie AI, muszą dopilnować, by ich modele bezpieczeństwa ewoluowały w tym samym tempie. – zauważa Oded Vanunu, jeden z ekspertów stojących za odkryciem.

Podatności otrzymały identyfikatory CVE-2025-59536 (problem związany z obejściem mechanizmów zgody w MCP) oraz CVE-2026-21852 (kradzież klucza API przed potwierdzeniem zaufania). Check Point Research przekazał swoje wnioski Anthropic, a producent wdrożył już poprawki bezpieczeństwa. Wzmocniono prompty zaufania, zablokowano uruchamianie narzędzi zewnętrznych przed zgodą oraz wstrzymano komunikację API do czasu potwierdzenia zaufania.