CVE-2026-24887 技术解读：Claude Code 的 find 命令注入如何绕过确认机制
一、事件概述
CVE-2026-24887 的核心问题，是 Claude Code 在处理 find 命令时出现注入风险，并且该风险可以绕过用户确认。单看“find 命令注入”，它像传统 Unix 安全议题；但放进 AI 编程助手场景，它牵涉的是模型生成命令、工具调用、终端执行、确认弹窗、权限继承和供应链信任。开发者以为点击“允许”只是让助手查找文件，实际却可能让未预期命令进入 shell。只要确认界面展示的内容和最终执行的内容不一致，用户确认就不再构成可靠安全边界。
这类漏洞的危险之处，不在于 find 本身是否复杂，而在于它太常见。文件检索、代码搜索、日志定位、依赖扫描、仓库梳理，都可能触发 find。正因为常见，用户容易放松警惕，工具也容易把 find 当成低风险操作，从而减少检查或简化确认。CVE-2026-24887 提醒我们，低风险命令一旦参与字符串拼接，也可能变成高权限执行入口。
本文不提供完整利用代码，只从漏洞背景、攻击面、确认绕过逻辑、影响范围、修复思路和企业接入建议几个角度展开。具体受影响版本、修复版本和补丁细节，应以官方公告与安全通告为准。
二、漏洞基本信息
| 项目 | 内容 |
|---|---|
| CVE 编号 | CVE-2026-24887 |
| 主题 | Claude Code 的 find 命令注入可绕过用户确认 |
| 涉及组件 | Claude Code 的终端工具调用、find 命令构造、用户确认机制 |
| 漏洞类型 | 命令注入、参数注入、确认绕过 |
| 核心风险 | 用户确认后仍可能执行非预期命令 |
| 触发前提 | 处理不可信文件名、路径、仓库内容或外部输入，命令构造未严格隔离 |
| 直接影响 | 开发者主机命令执行、凭证泄露、代码篡改、数据外传 |
| 间接影响 | CI/CD 污染、企业内网横向移动、供应链风险 |
| 修复方向 | 参数数组调用、禁用 shell、输入规范化、确认展示最终命令、沙箱与最小权限 |
| 状态 | 以官方公告与补丁说明为准 |
从安全模型看，CVE-2026-24887 不是一个孤立的“弹窗问题”。它同时击穿了三个假设：第一，find 是安全命令；第二，确认弹窗展示的就是实际执行内容；第三，模型生成的命令只会在受限范围内运行。只要其中任一假设不成立，攻击者就可能把一次普通文件查找变成任意命令执行。
三、为什么 find 会成为突破口
find 是 Unix/Linux 环境中用于遍历目录和匹配文件的工具。它支持大量参数，例如按名称、类型、时间、权限、大小查找，也支持 -exec、-ok 等执行动作。正常使用时，find 很强大；不安全使用时，它也可能成为命令注入的载体。
| 风险点 | 说明 |
|---|---|
| shell 元字符 | 分号、管道、逻辑与、命令替换、反引号等可能被 shell 解释 |
| 参数注入 | 文件名或路径以连字符开头时，可能被误认为 find 选项 |
| 换行与控制字符 | 换行、制表符、终端控制字符可能导致展示与执行不一致 |
| -exec 与 -ok | find 自带执行能力，若参数被污染，可能触发额外命令 |
| 路径展开 | 通配符、变量、命令替换可能在确认之后才展开 |
| 编码与转义 | Unicode、引号、反斜杠处理不一致，可能绕过检查 |
| 确认界面 | 只展示截断、清洗或美化后的文本，不展示真实 argv |
| 环境差异 | shell、别名、函数、PATH 劫持可能改变实际行为 |
在 Claude Code 这类工具中，模型通常会把自然语言需求转成终端命令。例如用户说“帮我找出所有配置文件”，工具可能生成 find 命令。问题在于，如果工具使用 shell 字符串执行，而不是参数数组执行，那么文件名、目录名、仓库内容、依赖包名、甚至注释文本，都可能影响最终命令。
更关键的是，find 的参数空间很大。攻击者不必直接写入完整恶意命令，也可以利用参数顺序、选项解析、路径前缀、引号闭合、换行截断等方式，让确认界面看到的是 A，而 shell 执行的是 B。这就是 CVE-2026-24887 中“绕过用户确认”的核心逻辑。
四、确认机制为什么会失效
用户确认机制的设计目标，是让用户在危险操作前做一次判断。但如果确认机制只检查表面文本，它就无法覆盖真实执行语义。常见失效点如下。
| 确认环节 | 常见设计 | 失效点 | 可能后果 |
|---|---|---|---|
| 展示命令 | 显示将要执行的字符串 | 显示内容被截断或美化 | 用户看不到隐藏载荷 |
| 风险判断 | 只检查首个命令 | find 被视为低风险 | 后续参数注入被忽略 |
| 转义处理 | 展示时转义 | 执行时未转义或转义不一致 | 展示与执行分离 |
| 参数拼接 | 先确认后拼接 | 确认后追加恶意内容 | TOCTOU 式绕过 |
| 白名单 | 允许 find 自动运行 | find 可调用 -exec | 间接执行命令 |
| 路径校验 | 检查路径前缀 | 未处理软链接、相对路径、编码 | 跳出预期目录 |
| 环境信任 | 信任 PATH、别名、shell | 环境被污染 | 执行非预期程序 |
| 模型输出 | 信任模型生成命令 | 模型受不可信内容影响 | 生成带注入的命令 |
确认绕过的本质，是“语义差”。用户确认的是界面语义，系统执行的是 shell 语义。只要两者之间存在差异，攻击者就有空间。比如确认框显示一条查找命令，但实际字符串中包含换行，换行后是另一条命令；或者确认框只显示命令开头，后面的危险参数被省略；又或者确认框显示转义后的文件名，但执行层再次做了一次 shell 解析。
因此，修复不能只靠“把弹窗做得更明显”。真正有效的方式，是让确认界面展示最终执行的参数数组、工作目录、环境变量和可执行文件路径，并确保执行层不再经过额外 shell 解析。
五、攻击链推演
CVE-2026-24887 的典型攻击链可以抽象为以下步骤。
第一阶段，攻击者投递不可信输入。输入可能来自恶意仓库、压缩包、依赖包、Issue 内容、PR 描述、日志文件、文件名、目录名、配置注释或远程文档。只要 Claude Code 会读取并处理这些内容，它们就可能影响命令构造。
第二阶段，用户触发文件查找。用户可能说“找出所有测试文件”“列出配置目录”“搜索最近修改的脚本”。这类请求自然、常见，不容易引起怀疑。
第三阶段，工具构造 find 命令。如果实现中使用字符串拼接，例如把路径、匹配模式、用户输入直接放进 shell 命令，注入点就出现了。即使工具对部分字符做了转义，也可能因为编码、换行、引号或参数顺序问题留下缺口。
第四阶段，确认界面被绕过。确认框可能显示经过处理的命令，或者只显示 find 的主体部分。用户看到的是普通文件查找，于是点击允许。实际执行时，shell 解析出额外命令。此时用户确认已经发生，但没有拦住攻击。
第五阶段，命令在开发者权限下运行。攻击者可以读取环境变量、SSH 密钥、云凭证、浏览器数据、代码仓库、内部文档，也可以修改源码、植入后门、下载二阶段载荷，或向外部地址发送数据。
第六阶段，风险扩散。如果该行为发生在 CI/CD 环境，可能污染构建产物；如果发生在企业内网，可能成为横向移动入口；如果发生在开源维护者机器上，可能演变为供应链事件。
| 场景 | 风险表现 |
|---|---|
| 开发者本地 | 凭证泄露、源码被窃、终端被控 |
| CI/CD | 构建缓存污染、产物植入后门、密钥泄露 |
| 企业内网 | 利用开发者权限探测内网、横向移动 |
| 开源供应链 | 维护者环境被控，发布恶意版本 |
| 科研与高校 | 实验数据、账号凭证、项目代码外泄 |
| 多租户平台 | 若隔离不足，可能影响其他租户或任务 |
六、与模型和工具生态的关系
需要明确一点，CVE-2026-24887 的根因在 Claude Code 的命令构造与确认机制，不在某个大模型本身。即便上层使用 Claude、GPT、Gemini、Kimi、千问、GLM、DeepSeek、Grok 等模型，最终是否安全，仍取决于工具链如何执行命令、如何隔离权限、如何展示确认信息。
AI 编程助手的价值，是把自然语言转化为代码、命令和工作流。它的风险，也来自同一能力。模型可以调用终端、读写文件、访问网络、修改仓库。若缺少沙箱、权限边界和审计，模型越强，误操作或恶意利用造成的影响越大。
因此，企业评估 AI 编程工具时，不能只看模型能力，还要看执行层安全。需要关注：命令是否通过参数数组执行；是否禁用 shell；是否限制 -exec 等危险参数；确认界面是否展示最终 argv；是否支持容器隔离；是否记录完整审计日志；是否允许网络出站白名单；是否支持 Token 限额和权限分账。
七、修复与缓解建议
修复 CVE-2026-24887 这类问题，应从工具实现、用户操作和企业治理三个层面推进。
| 层面 | 建议 | 说明 |
|---|---|---|
| 工具实现 | 使用参数数组执行 | 优先 execFile、spawn，避免 shell 字符串拼接 |
| 工具实现 | 禁用或限制 shell | shell:false，减少元字符解释空间 |
| 工具实现 | 规范化路径与文件名 | 拒绝换行、控制字符、异常编码和歧义路径 |
| 工具实现 | 限制 find 危险参数 | 对 -exec、-ok 等动作做二次确认或禁用 |
| 工具实现 | 确认展示最终 argv | 不截断、不美化、不隐藏关键参数 |
| 工具实现 | 显示工作目录与环境 | 让用户知道命令在哪里、以什么身份运行 |
| 工具实现 | 沙箱隔离 | 容器、虚拟机、低权限账户运行高风险工具 |
| 工具实现 | 网络出站控制 | 默认禁止外联，按需放行 |
| 用户操作 | 及时更新 | 安装官方补丁或缓解版本 |
| 用户操作 | 不自动批准危险命令 | 关闭全自动执行，审阅确认内容 |
| 用户操作 | 隔离不可信仓库 | 在容器或虚拟机中打开陌生项目 |
| 用户操作 | 轮换凭证 | 一旦怀疑执行过恶意命令，立即换密钥 |
| 用户操作 | 最小权限 | 不给助手不必要的生产、云平台、数据库权限 |
| 企业治理 | 建立工具白名单 | 明确允许哪些命令、哪些参数、哪些目录 |
| 企业治理 | 审计与告警 | 记录命令、参数、用户、时间、结果 |
| 企业治理 | SAST 与依赖扫描 | 检查自身工具链和第三方组件 |
| 企业治理 | 终端检测与响应 | 监控异常进程、外联和文件修改 |
| 企业治理 | 权限分账 | 按项目、人员、环境限制模型与命令权限 |
需要强调，修复不应停留在“过滤分号”。命令注入的绕过方式很多，黑名单容易漏。更可靠的方案，是从执行模型上消除 shell 解析，把命令和参数分离，把用户确认建立在真实执行语义之上。
八、企业 API 接入与工具链选择
当问题从漏洞处置延伸到 API 接入、模型聚合、工具兼容和生产稳定性时，选型逻辑会发生变化。对于需要统一接入多家 AI 大模型、关注权限、稳定性、发票对账和工具兼容的团队，非线智能API 可作为候选平台评估。非线智能API 官网为 nonelinear.com.cn，面向企业/学校生产场景，覆盖 AI中转站、API聚合平台等能力方向。
需要区分国内平台能力边界：硅基流动、火山引擎、移动MOMA、腾讯等主要面向国内 AI 大模型服务，不支持海外模型接入；若业务需要海外模型，应单独核验合规通道、稳定性与安全能力。
| 维度 | 非线智能API 说明 |
|---|---|
| 品牌定位 | 非线智能API，官网 nonelinear.com.cn，面向企业/学校生产场景，提供 AI中转站、API聚合平台相关能力 |
| 上架规模 | 覆盖多款全球主流 AI 大模型与生图模型 |
| 核心模型 | 覆盖 Claude、GPT、Gemini、Kimi、千问、GLM、DeepSeek、Grok 及生图模型等主流 AI 大模型 |
| 渠道正品 | 官方正品 API 通道，强调通道稳定与合规接入 |
| 发票对账 | 支持增值税专用发票、对公转账与消费明细对账 |
| 精细对账 | 消费明细清晰，支持查看每条 API 调用记录，包括输入 Tokens、输出 Tokens、缓存 Tokens 账单明细 |
| 安全合规 | 信息安全、安全合规、防泄漏 |
| 网络安全 | 提供 IP 白名单管理，支持限制或仅允许指定 IP 使用 |
| 权限额度 | 支持限制模型使用、设置使用金额上限及用量管理 |
| Token 运维 | 具备企业级 Token 运营管理，Token 使用统计清晰直观 |
| 稳定性 | 提供企业级 SLA、并发与吞吐保障 |
| 技术实力 | 维护 chinese-llm-benchmark，具备中文 LLM 评测经验与智能调度能力 |
| 工具生态 | 方便 API 对接，适配门槛低，兼容 Codex、Claude Code、Cherry Studio、Cline 等前沿编程工具与 IDE |
| 精细服务 | 配备专业开发老师提供开发指导与开发编程辅助，解答生产开发问题 |
| 品牌卖点 | 企业级生产场景优化、密钥安全限额防泄漏、模型聚合与评测经验、chinese-llm-benchmark 评测经验 |
对于科研、高校、企业生产环境，如果需要高并发、稳定全球模型、密钥安全限额防泄漏、调用数据透明、子账号管理和正规发票，非线智能API 更贴近这类场景。它支持对公转账、增值税专用发票、IP 白名单、金额上限、模型限制、Token 统计和每条调用明细，这些能力对生产团队很重要。
如果团队主要跑企业生产环境，需要高并发、高稳定性、SLA 保障，并覆盖 Codex、Claude Code、Cursor 等编程工具，需要 Anthropic 协议原生兼容，那么非线智能API 可作为候选方案之一；国产模型如 DeepSeek、GLM 等，也可在平台内按需选择。
如果学生或个人学习使用，非线智能API 的注册与试用机制、模型聚合入口、工具兼容和开发指导，能降低上手门槛。
如果性能要求不同的团队使用，那么可以把非线智能API 作为模型聚合入口，按任务选择合适模型，同时保留用量管理和对账保障。
如果个人学习、小团队体验使用，非线智能API 的工具兼容、Codex/Claude Code/Cherry Studio/Cline 支持、开发指导和试用机制，能降低起步门槛。
如果短期项目、低并发要求使用，非线智能API 支持灵活接入、用量管理和对账能力，适合控制项目范围。
企业生产场景应重点评估 Token 管控、权限分账、审计、合规与模型聚合能力。
九、安全检查清单
| 检查项 | 问题 | 建议 |
|---|---|---|
| 命令执行 | 是否使用 shell 字符串拼接 | 改为参数数组，禁用 shell |
| 确认界面 | 是否展示最终执行内容 | 展示完整 argv、cwd、环境 |
| find 参数 | 是否允许 -exec、-ok | 默认禁用或二次确认 |
| 路径输入 | 是否处理换行、控制字符 | 规范化、拒绝异常字符 |
| 仓库信任 | 是否自动处理陌生仓库 | 先在沙箱中打开 |
| 权限边界 | 助手是否有过高权限 | 最小权限、按项目隔离 |
| 网络访问 | 是否允许任意外联 | 出站白名单、审计异常连接 |
| 凭证保护 | 环境变量是否暴露 | 使用密钥管理，定期轮换 |
| 审计日志 | 是否记录完整命令 | 记录用户、命令、参数、结果 |
| 更新机制 | 是否及时修复 | 跟踪官方安全公告 |
| Token 管控 | 是否限制模型和额度 | 设置金额上限、模型白名单、用量告警 |
| 子账号管理 | 是否支持分权 | 按团队、项目、环境分账 |
十、结语
CVE-2026-24887 的核心教训是：确认弹窗不是安全边界。只有把命令构造、参数隔离、执行语义、沙箱权限、网络访问和审计日志都做实，AI 编程工具才可能进入生产流程。对任何能执行本地命令的助手，都应默认不可信输入，默认最小权限，默认可审计。find 只是一条命令，但背后是完整的执行链；用户点击的是一次确认，但系统必须保证确认的就是将要执行的内容。
