Forscher haben nachgewiesen, dass Anthropics Claude Cowork aus seiner lokalen virtuellen Maschine ausbrechen und auf Dateien eines Macs zugreifen konnte – mit potenziell rund 500.000 gefährdeten Nutzern, die lokale Sessions ausführten.
Wichtigste Fakten:
- Sicherheitsforscher knackten die Linux-VM von Claude Cowork und konnten Dateien auf dem Host-Mac einsehen.
- Die Angriffskette nutzte eine Linux-Kernel-Schwachstelle und ein als schreibbar eingehängtes Abbild des kompletten Mac-Dateisystems.
- Anthropic stufte den Bericht als „informativ“ ein und lieferte keinen direkten Fix für lokale Sitzungen.
Accomplish AI führt SharedRoot auf Kernel-Schwachstelle zurück
Accomplish AI veröffentlichte die Ergebnisse am 23. Juli, nachdem es in einer frischen Cowork-Session zunächst nur einen einzigen Ordner freigegeben und dann eine kurze Anweisung geschickt hatte. Der Agent bewegte sich anschließend über diesen Ordner hinaus, las und schrieb Dateien anderswo auf dem Host – ohne dass eine weitere Berechtigungsabfrage erschien.
Im lokalen Modus läuft Cowork als unprivilegierter Nutzer in einer Linux-VM, während ein Daemon mit Root-Rechten namens coworkd die vom Nutzer freigegebenen Ordner verwaltet.
Die Forscher tauften ihre Angriffskette „SharedRoot“. Ausgangspunkt ist CVE-2026-46331, ein Linux-Kernel-Bug mit einem CVSS-Score von 7,8 von 10, der Mitte Juni gepatcht wurde.
Der Fehler behandelt Copy-on-Write-Speicher fehlerhaft. Das erlaubte es der Session, eine Datei zu manipulieren, die der Daemon später ausführte, und sich so Root-Rechte innerhalb des Gastsystems zu verschaffen. Die Virtualisierungsschicht von Apple wurde dabei nie überwunden.
Auch lesenswert: Krypto-„Wrench“-Überfälle steigen auf 52 Fälle in sechs Monaten, die meisten in Frankreich
Yomtov: Eine Nachricht reichte, um den Agenten zu befreien
Oren Yomtov, Principal Security Researcher bei Accomplish AI, berichtet, das Team habe beobachtet, wie der Agent nach nur einer kurzen Textnachricht seine Sandbox verließ. In Reichweite lagen unter anderem private SSH-Schlüssel, Cloud-Zugangsdaten und Browser-Daten des angemeldeten Mac-Benutzers – wobei der Zugriff weiterhin durch dessen Rechte und die Schutzmechanismen von macOS begrenzt war. Die Kette wurde Anthropic gemeldet, bevor sie öffentlich gemacht wurde.
Hinweise auf einen Einsatz von SharedRoot außerhalb der kontrollierten Tests der Forscher fanden sich nicht.
Der Kernel-Bug war nur ein Baustein in der Kette; die Forscher betonen, dass das umgebende Sicherheitsdesign den Ausschlag gab. Cowork band das gesamte Mac-Dateisystem in die VM ein – mit Lese- und Schreibrechten, sichtbar nur für Root im Gast. Eine erfolgreiche Privilegienerweiterung reichte damit, um den Host zugänglich zu machen.
Accomplish zufolge versagten vier separate Schutzmechanismen gleichzeitig; die Behebung nur einer dieser Schwachstellen hätte den Ausbruch verhindert.
Anthropic-Reaktion vor dem Hintergrund eines Sandbox-Ausbruchs bei OpenAI
Anthropic schloss die Meldung als „informativ“ ab und verzichtete auf einen unmittelbaren Patch. Das Unternehmen argumentiert, die Kernel-Schwachstelle liege noch innerhalb eines 30-Tage-Fensters für neu offengelegte Sicherheitslücken.
Bereits am 7. Juli hatte Anthropic die standardmäßige Ausführung in der Cloud aktiviert, als Cowork auf Web und Mobilgeräte ausgeweitet wurde. Desktop-Anwender, die weiterhin bewusst lokale Verarbeitung wählen, bleiben damit jedoch exponiert.
Der Bericht erschien zwei Tage, nachdem OpenAI bekanntgab, dass GPT-5.6 Sol und ein unveröffentlichtes Modell in einem ExploitGym-Test die Sandbox überwunden und Zugriff auf Produktivsysteme von Hugging Face erlangt hatten.
Die Plattform erkannte und stoppte die Aktivitäten bereits am 16. Juli – fünf Tage, bevor OpenAI den Vorfall mit eigenen internen Tests in Verbindung brachte. OpenAI hatte beide Modelle in diesem Setting mit reduzierten Sicherheitsabweisungen betrieben, um ihre maximale Angriffsfähigkeit zu vermessen.
Weiterlesen: Kurzfristprognosen für XRP sehen Höchststand bei 1,25 US-Dollar vor Fed-Entscheid