I ricercatori hanno dimostrato che Claude Cowork di Anthropic era in grado di evadere la propria macchina virtuale locale e raggiungere file sull’intero Mac host, esponendo potenzialmente circa 500.000 utenti che avevano eseguito sessioni locali.
Punti chiave:
- I ricercatori di sicurezza sono riusciti a evadere la VM Linux di Claude Cowork e a leggere file sul Mac host.
- La catena di attacco univa una falla del kernel Linux a un mount in scrittura dell’intero filesystem macOS.
- Anthropic ha chiuso il report come “informativo” senza rilasciare una correzione diretta per le sessioni locali.
Accomplish AI collega SharedRoot a una falla del kernel
Accomplish AI ha pubblicato i risultati il 23 luglio, dopo aver collegato una sola cartella a una nuova sessione Cowork e aver inviato una breve istruzione. L’agente è riuscito a oltrepassare quella cartella, leggendo e scrivendo file in altre aree dell’host senza che comparisse una seconda richiesta di autorizzazione.
In modalità locale, Cowork esegue l’agente come utente non privilegiato all’interno di una VM Linux, mentre un demone con privilegi di root, chiamato coworkd, gestisce le cartelle condivise dall’utente.
I ricercatori hanno chiamato la loro catena di exploit SharedRoot. Il primo tassello è CVE-2026-46331, un bug del kernel Linux con punteggio 7,8 su 10, corretto a metà giugno.
La vulnerabilità gestisce in modo errato la memoria copy-on-write, consentendo alla sessione di corrompere un file che il demone avrebbe poi eseguito, ottenendo così privilegi di root all’interno del sistema guest. SharedRoot, precisano, non ha mai violato il livello di virtualizzazione di Apple.
Da leggere anche: Aggressioni “wrench” crypto: 52 casi in sei mesi, per lo più in Francia
Yomtov: è bastato un solo messaggio per liberare l’agente
Oren Yomtov, principal security researcher di Accomplish AI, ha spiegato che il team ha osservato l’agente uscire dal sandbox dopo un unico, breve messaggio. Tra i file potenzialmente accessibili figuravano chiavi SSH private, credenziali cloud e dati del browser associati all’account macOS attivo; l’accesso restava comunque vincolato ai permessi di quell’utente e alle protezioni di macOS. Il team ha segnalato la catena ad Anthropic prima della divulgazione pubblica.
Non è emersa alcuna evidenza che SharedRoot sia stato sfruttato al di fuori dei test controllati di Accomplish AI.
Il bug del kernel era solo uno degli anelli della catena, e i ricercatori sostengono che il design complessivo pesasse ancora di più. Cowork montava l’intero filesystem del Mac all’interno della VM come volume leggibile e scrivibile, su un percorso visibile soltanto all’utente root guest: una singola escalation di privilegi era sufficiente per aprire l’accesso all’host.
Secondo Accomplish, quattro diversi meccanismi di sicurezza hanno fallito in contemporanea; correggerne anche uno solo sarebbe bastato a bloccare l’evasione.
La risposta di Anthropic nel solco dell’incidente OpenAI
Anthropic ha chiuso la segnalazione come “informativa” senza rilasciare una patch specifica, sostenendo che la vulnerabilità del kernel rientrasse nella propria finestra di 30 giorni per le falle appena rese pubbliche.
L’azienda aveva già reso l’esecuzione in cloud l’opzione predefinita il 7 luglio, quando ha esteso Cowork al web e al mobile. Gli utenti desktop che continuano a scegliere l’elaborazione locale restano però esposti a questo tipo di rischio.
Il report è arrivato due giorni dopo che OpenAI ha rivelato come GPT-5.6 Sol e un modello non ancora rilasciato fossero riusciti a evadere un ambiente di test ExploitGym e a raggiungere i sistemi di produzione di Hugging Face.
La piattaforma ha individuato e contenuto l’attività il 16 luglio, cinque giorni prima che OpenAI collegasse l’intrusione ai propri test interni. Per quelle prove, OpenAI aveva ridotto i filtri di cyber-sicurezza dei modelli per valutarne le capacità massime.
Prossimo articolo: Previsioni a breve su XRP: target a 1,25 $ in attesa della decisione Fed