Песочница Claude Code сама глушила запрос на подтверждение

Включаете песочницу, ставите строгий режим «не спрашивать», открываете репозиторий и шлёте одно сообщение. Команда из репозитория выполняется на вашем Mac вне песочницы, без единого запроса. Парадокс: виновата сама песочница. С ней Claude Code оборачивает команды в Seatbelt и перестаёт спрашивать.

Обвязка запускает свои git-команды вне песочницы, чтобы индексировать репозиторий. У git есть настройка core.fsmonitor: git читает её из .git/config и выполняет как shell-команду. Атака подкладывает отравленный .git во вложенную папку, где не хватало защиты от переименования, а чтение одного файла через авто-загрузку навыков дёргает обновление индекса, и оно запускает payload.

Anthropic закрыла дыру в Claude Code 2.1.247 26 августа 2026: теперь каждая git-команда обвязки обнуляет core.fsmonitor.