El asistente de programación con IA de Anthropic, Claude Code, presentó una vulnerabilidad crítica de omisión del sandbox de red durante más de cinco meses. Este fallo permitía a los atacantes exfiltrar credenciales, código fuente y variables de entorno de los sistemas de los desarrolladores. El investigador de seguridad Aonan Guan reveló que la compañía no emitió avisos públicos sobre este incidente ni sobre un segundo fallo similar ya detectado.

El asistente de codificación por IA de Anthropic, Claude Code, mantuvo un bypass crítico del sandbox de red durante más de cinco meses, permitiendo que atacantes exfiltraran credenciales, código fuente y variables de entorno de los sistemas de los desarrolladores, y la empresa no emitió ningún aviso público por ninguno de los dos incidentes.

El investigador de seguridad Aonan Guan ha revelado públicamente un segundo bypass completo del sandbox de red de Claude Code, señalando lo que describe como un fallo de implementación constante en lugar de un error aislado.

La vulnerabilidad, una inyección de byte nulo en el nombre de host SOCKS5, afectó a todas las versiones de Claude Code desde la v2.0.24 (sandbox GA el 20 de octubre de 2025) hasta la v2.1.89, abarcando aproximadamente 130 versiones publicadas durante unos 5,5 meses.

Anthropic parcheó silenciosamente el problema en la v2.1.90 el 1 de abril de 2026, sin mencionar ninguna corrección de seguridad en las notas de la versión.

Esto sucede después del primer bypass del sandbox (CVE-2025-66479), en el cual configurar allowedDomains: [] con la intención de bloquear todo el tráfico saliente fue interpretado erróneamente por Claude Code como "permitir todo" debido a una comprobación defectuosa de allowedDomains.length > 0.

Ese error fue corregido silenciosamente en la v2.0.55 el 26 de noviembre de 2025, la misma versión que todavía incluía la inyección de byte nulo de SOCKS5.

Vulnerabilidad del Sandbox de Red de Claude Code

El ataque explota una diferencia de análisis (parser differential) entre JavaScript y la biblioteca de C subyacente (libc).

El sandbox de Claude Code enruta el tráfico saliente a través de un proxy SOCKS5 que utiliza una comprobación endsWith() de JavaScript para validar los nombres de host contra la lista de permitidos del usuario (por ejemplo, *.google.com).

Un atacante crea un nombre de host como attacker-host.com\x00.google.com; el filtro de JavaScript ve el final .google.com y aprueba la conexión, mientras que getaddrinfo() de libc termina en el byte nulo (\x00) y resuelve attacker-host.com, el host bloqueado.

El código vulnerable en sandbox-runtime <= 0.0.42 pasaba los bytes raw de DOMAINNAME directamente desde una solicitud CONNECT de SOCKS5 al comparador sin rechazo de bytes nulos, sin límite de longitud y sin una lista blanca de caracteres.

La corrección en sandbox-runtime 0.0.43 introdujo un envoltorio isValidHost() que rechaza \x00, %, CRLF y otros caracteres no DNS antes de que se ejecute el comparador.

El bypass se vuelve especialmente peligroso cuando se combina con ataques de inyección de prompts.

Una instrucción maliciosa oculta en un comentario de un problema de GitHub, un README o un archivo de documentación que Claude Code lea puede activar código controlado por el atacante dentro del sandbox. Hasta la v2.1.90, ese código podía explotar este bypass para exfiltrar silenciosamente:

• Credenciales de AWS de ~/.aws/ y tokens de GitHub de ~/.config/gh/
• Metadatos de instancia de nube de 169.254.169.254
• Endpoints de API internas y recursos de la intranet corporativa.
• Variables de entorno y claves de API del modelo; todo transmitido vía SOCKS5 raw, evitando los registros de salida HTTP estándar.

Anthropic cerró el informe de HackerOne de Guan (#3646509) como un duplicado y, hasta el 10 de mayo de 2026, no había publicado un CVE para el bypass de SOCKS5 ni en el NVD ni en la base de datos de avisos de GitHub.

El CVE-2025-66479 sigue siendo el único CVE registrado para cualquiera de los hallazgos del sandbox, y fue emitido contra sandbox-runtime, no contra Claude Code en sí.

La página de avisos de seguridad de Claude Code no enumera ninguna vulnerabilidad de sandbox. Debes actualizar a Claude Code v2.1.90 o posterior inmediatamente (usa claude --version para verificarlo).

Cualquiera que haya ejecutado una lista de permitidos con comodines en un sistema que contenga credenciales entre el 20 de octubre de 2025 y su fecha de actualización, debería auditar los registros de tráfico saliente mediados por SOCKS y rotar todas las credenciales accesibles.

Como señala el investigador, trata el sandbox del proveedor como una defensa en profundidad, no como un límite de seguridad, y aplica controles de salida al nivel de red o hipervisor, fuera del alcance del agente.

Fuentes:
https://cybersecuritynews.com/claude-codes-network-sandbox-vulnerability/