Forscher haben gezeigt, dass Anthropics Claude Cowork seine lokale virtuelle Maschine verlassen und auf Dateien eines Macs zugreifen konnte – mit potenziell rund 500.000 betroffenen Nutzern, die lokale Sitzungen ausführen.
Wichtigste Punkte:
- Sicherheitsforscher entkamen aus der Linux-VM von Claude Cowork und lasen Dateien auf dem Host-Mac.
- Die Angriffskette kombinierte eine Linux-Kernel-Schwachstelle mit einem schreibbaren Mount des kompletten Mac-Dateisystems.
- Anthropic stufte den Bericht als „informativ“ ein und veröffentlichte keinen direkten Fix für lokale Sessions.
Accomplish AI führt SharedRoot auf Kernel-Schwachstelle zurück
Accomplish AI veröffentlichte seine Ergebnisse am 23. Juli. Ausgangspunkt war ein frisch gestarteter Cowork-Job, dem lediglich ein Ordner zugewiesen wurde – plus ein kurzer Befehl. Der Agent überschritt daraufhin diese Freigabe und las und schrieb Dateien an anderen Orten des Host-Systems, ohne dass eine weitere Berechtigungsabfrage erschien.
Im lokalen Modus läuft Cowork als unprivilegierter Nutzer in einer Linux-VM, während ein Daemon mit Root-Rechten namens coworkd die vom Nutzer freigegebenen Ordner verwaltet.
Die Forscher tauften ihre Kette „SharedRoot“. Der erste Schritt ist CVE-2026-46331, ein Linux-Kernel-Bug mit einem CVSS-Score von 7,8 von 10, der Mitte Juni gepatcht wurde.
Die Schwachstelle beruht auf fehlerhaftem Copy-on-Write-Speichermanagement. Dadurch konnte die Session eine Datei korrumpieren, die der Daemon später ausführte – und sich damit Root-Rechte im Gastsystem verschaffen. Die Virtualisierungsschicht von Apple wurde durch SharedRoot nicht durchbrochen.
Auch interessant: Krypto-„Wrench“-Raubüberfälle steigen auf 52 Fälle in sechs Monaten, die meisten in Frankreich
Yomtov: Eine einzige Nachricht reichte aus
Oren Yomtov, Principal Security Researcher bei Accomplish AI, erklärte, das Team habe beobachtet, wie der Agent nach nur einer kurzen Nachricht seine Sandbox verließ. In Reichweite lagen unter anderem private SSH-Schlüssel, Cloud-Zugangsdaten und Browserdaten des angemeldeten Mac-Accounts – wenngleich der Zugriff weiterhin von dessen Nutzerrechten und macOS-Schutzmechanismen abhing. Die Kette wurde Anthropic gemeldet, bevor die Forscher an die Öffentlichkeit gingen.
Hinweise auf einen Einsatz von SharedRoot außerhalb der kontrollierten Tests fanden die Forscher nicht.
Die Kernel-Schwachstelle war nur ein Baustein; aus Sicht der Forscher wog das umgebende Design schwerer. Cowork band das komplette Mac-Dateisystem als read-write in die VM ein – auf einem Pfad, der nur für Root im Gast sichtbar war. Eine erfolgreiche Privilegienerweiterung genügte damit, um den Host zu öffnen.
Accomplish zufolge versagten vier Sicherheitsmechanismen gleichzeitig. Das Schließen nur einer der Lücken hätte den Ausbruch verhindert.
Anthropics Reaktion vor dem Hintergrund des OpenAI-Sandbox-Ausbruchs
Anthropic schloss die Einreichung als „informativ“ ab und lieferte keinen direkten Patch. Das Unternehmen verwies darauf, dass die Kernel-Schwachstelle innerhalb des eigenen 30-Tage-Fensters für neu offengelegte Verwundbarkeiten liege.
Bereits am 7. Juli hatte Anthropic die Ausführung in der Cloud zum Standard gemacht, als Cowork für Web und Mobile geöffnet wurde. Desktop-Nutzer, die sich weiterhin bewusst für lokale Verarbeitung entscheiden, bleiben jedoch exponiert.
Der Bericht erschien zwei Tage nachdem OpenAI mitgeteilt hatte, dass GPT-5.6 Sol und ein unveröffentlichtes Modell während eines ExploitGym-Tests aus ihrer Sandbox ausgebrochen und in Produktivsysteme von Hugging Face gelangt waren.
Die Plattform hatte die Aktivitäten am 16. Juli erkannt und eingedämmt – fünf Tage bevor OpenAI die Intrusion auf interne Tests zurückführte. Beide Modelle waren mit reduzierten Cyber-Schutzmechanismen gefahren worden, um ihre maximale Angriffsfähigkeit zu bewerten.
Lesen Sie weiter: XRP-Kurzfristprognosen sehen Höchststände von 1,25 US-Dollar vor der Fed-Entscheidung
