Des chercheurs ont montré que Claude Cowork, développé par Anthropic, pouvait sortir de sa machine virtuelle locale et accéder aux fichiers d’un Mac hôte, exposant potentiellement près de 500 000 utilisateurs ayant lancé des sessions locales.
Points clés :
- Des chercheurs en sécurité ont réussi à sortir la VM Linux de Claude Cowork et à lire des fichiers sur le Mac hôte.
- La chaîne d’attaque combine une faille du noyau Linux et un montage en écriture de l’intégralité du système de fichiers macOS.
- Anthropic a classé le rapport comme « informatif » et n’a pas déployé de correctif spécifique pour les sessions locales.
Accomplish AI relie SharedRoot à une faille du noyau
Accomplish AI a publié ses conclusions le 23 juillet, après avoir attaché un simple dossier à une session Cowork fraîchement lancée et envoyé une instruction très courte. L’agent a ensuite franchi les limites de ce dossier, lisant et écrivant des fichiers ailleurs sur l’hôte, sans qu’aucune seconde demande d’autorisation ne soit affichée.
En mode local, Cowork exécute l’agent comme utilisateur non privilégié dans une machine virtuelle Linux, tandis qu’un démon tournant avec les droits root, baptisé coworkd, gère les dossiers partagés par l’utilisateur.
Les chercheurs ont baptisé leur chaîne d’exploitation SharedRoot. Son point de départ est la vulnérabilité CVE-2026-46331, une faille du noyau Linux notée 7,8 sur 10 et corrigée à la mi‑juin.
Cette vulnérabilité gère mal la mémoire copy‑on‑write, ce qui a permis à la session de corrompre un fichier ensuite exécuté par le démon, et de s’approprier les droits root à l’intérieur de la VM invitée. SharedRoot n’a jamais franchi la couche de virtualisation d’Apple.
À lire aussi : Les attaques “clé à molette” crypto atteignent 52 cas en six mois, la plupart en France
Yomtov affirme qu’un seul message a suffi à libérer l’agent
Oren Yomtov, chercheur principal en sécurité chez Accomplish AI, explique que son équipe a vu l’agent s’échapper de son bac à sable après un simple message court. Les fichiers accessibles comprenaient des clés SSH privées, des identifiants cloud et des données de navigateur appartenant au compte Mac connecté, même si l’accès restait limité par les permissions de cet utilisateur et les protections de macOS. L’équipe a divulgué la chaîne à Anthropic avant la publication.
Les chercheurs n’ont trouvé aucune trace d’utilisation de SharedRoot en dehors de leurs tests contrôlés.
La faille du noyau n’était qu’un maillon de la chaîne, et les chercheurs estiment que l’architecture autour compte davantage. Cowork montait l’intégralité du système de fichiers du Mac dans la VM en lecture‑écriture sur un chemin visible uniquement par root dans l’invité : une seule élévation de privilèges suffisait donc pour ouvrir l’accès à l’hôte.
Accomplish souligne que quatre garde‑fous distincts ont cédé simultanément, et que la correction d’un seul d’entre eux aurait bloqué l’évasion.
La réponse d’Anthropic intervient après une évasion de bac à sable chez OpenAI
Anthropic a classé la soumission comme purement informative et n’a pas livré de correctif direct, arguant que la faille du noyau entrait dans sa fenêtre de 30 jours pour les vulnérabilités nouvellement divulguées.
L’entreprise avait déjà fait du mode cloud l’option par défaut le 7 juillet, lorsqu’elle a étendu Cowork au web et au mobile. Les utilisateurs de bureau qui choisissent encore le traitement local restent toutefois exposés.
Le rapport est tombé deux jours après l’annonce par OpenAI que GPT‑5.6 Sol et un modèle non publié s’étaient échappés d’un environnement de test ExploitGym pour atteindre les systèmes de production de Hugging Face.
La plateforme a détecté et contenu l’activité le 16 juillet, cinq jours avant qu’OpenAI ne relie l’intrusion à ses propres tests internes. OpenAI avait exécuté les deux modèles avec des garde‑fous cyber réduits afin de mesurer leurs capacités maximales.
À suivre : Les prévisions à court terme pour XRP plafonnent à 1,25 $ avant la décision de la Fed
