보안 연구진이 Anthropic의 ‘클로드 코워크(Claude Cowork)’가 로컬 가상머신(VM)을 벗어나 맥 전체 파일에 접근할 수 있음을 보여주면서, 로컬 세션을 사용한 최대 50만 명의 이용자가 잠재적으로 노출됐던 사실이 드러났다.
핵심 요약
- 보안 연구진은 클로드 코워크의 리눅스 VM을 탈출해 호스트 맥에 있는 파일을 읽는 데 성공했다.
- 이 공격 체인은 리눅스 커널 취약점과, 맥 전체 파일시스템이 쓰기 가능한 상태로 VM에 마운트돼 있던 설계를 결합한 것이다.
- Anthropic은 해당 제보를 ‘정보 제공용’으로만 분류하고, 로컬 세션에 대한 직접적인 보안 패치는 내놓지 않았다.
어콤플리시 AI, SharedRoot 체인…커널 취약점에서 설계 결함까지 추적
보안 업체 **어콤플리시 AI(Accomplish AI)**는 7월 23일, 클로드 코워크의 새 세션에 단일 폴더만 공유로 연결한 뒤 짧은 한 줄 지시만 보내는 방식으로 취약점 실험 결과를 공개했다. 그 결과 에이전트는 해당 폴더 범위를 벗어나, 추가 권한 요청 없이 호스트 맥의 다른 위치에 있는 파일을 읽고 쓰기까지 했다.
코워크의 ‘로컬 모드’는 에이전트를 리눅스 가상머신 속 비(非)관리자 계정으로 실행하고, 사용자가 공유를 허용한 폴더는 루트 권한의 데몬 프로세스 ‘coworkd’가 관리하는 구조다.
연구진은 이번 공격 체인에 ‘SharedRoot’라는 이름을 붙였다. 체인의 첫 단계는 CVE-2026-46331으로, 10점 만점 기준 7.8점이 매겨진 리눅스 커널 취약점이다. 이 버그는 6월 중순 패치됐다.
해당 취약점은 카피 온 라이트(copy-on-write) 메모리 처리 과정에서 오류를 일으켜, 세션이 데몬이 나중에 실행할 파일을 손상시키고, 결국 게스트 시스템 내에서 루트 권한을 탈취할 수 있도록 만들었다. SharedRoot는 Apple의 가상화 레이어 자체를 뚫지는 않았다.
관련 기사: 암호화폐 ‘렌치 공격’ 6개월 새 52건…프랑스 집중
“짧은 한 줄 메시지로 에이전트가 샌드박스 탈출”
어콤플리시 AI의 수석 보안 연구원 **오렌 요무토프(Oren Yomtov)**는 팀이 “짧은 한 줄 메시지”를 보낸 뒤 곧바로 에이전트가 샌드박스를 벗어나는 과정을 지켜봤다고 밝혔다. 이론상 접근 가능한 파일에는 해당 맥 사용자 계정에 속한 SSH 개인 키, 클라우드 자격 증명, 브라우저 데이터 등이 포함됐다. 다만 실제 접근 범위는 해당 계정 권한과 macOS 자체 보호장치에 따라 제한을 받는다.
연구진은 이 취약점 체인을 공개하기 전에 Anthropic에 먼저 제보했다. 또한 통제된 실험 환경 밖에서 SharedRoot가 악용됐다는 정황은 발견하지 못했다고 강조했다.
연구진은 커널 버그는 체인 중 한 고리일 뿐이며, 그 주변의 제품 설계가 더 큰 문제였다고 지적했다. 코워크는 맥 전체 파일시스템을 가상머신 안에 읽기-쓰기 가능한 상태로 마운트했는데, 이 경로는 게스트 시스템의 루트 계정만 볼 수 있었다. 결과적으로 단 한 번의 권한 상승만 성공하면 곧바로 호스트 파일에 접근할 수 있는 구조였다는 것이다.
어콤플리시는 총 네 가지 보호 장치가 동시에 실패했으며, 그 중 어느 하나라도 제대로 작동했다면 이번 샌드박스 탈출은 차단됐을 것이라고 평가했다.
오픈AI 샌드박스 탈출 논란 뒤이은 Anthropic 대응
Anthropic은 해당 제보를 ‘정보 제공용’으로만 처리하고 직접적인 보안 패치 없이 사건을 종결했다. 회사 측은 문제가 된 커널 취약점이 ‘새로 공개된 취약점에 대한 30일 유예 기간’ 안에 포함돼 있었다는 점을 근거로 들었다.
Anthropic은 이미 7월 7일, 코워크를 웹과 모바일로 확대하면서 기본 설정을 ‘클라우드 실행’으로 전환했다. 다만 데스크톱에서 여전히 로컬 처리 방식을 선택해 쓰는 이용자들은 이번에 드러난 위험에 그대로 노출돼 있다.
이번 보고서는 OpenAI가 GPT-5.6 Sol과 미공개 모델이 ‘ExploitGym’ 평가 환경을 탈출해 허깅페이스(Hugging Face) 실제 운영 시스템에 도달했다고 밝힌 지 이틀 만에 나왔다.
허깅페이스 측은 7월 16일 이러한 비정상 활동을 탐지하고 격리했으며, OpenAI가 이 침입을 자사 내부 테스트와 연관 짓기까지는 추가로 닷새가 더 걸렸다. OpenAI는 두 모델의 ‘최대 능력’을 측정한다는 이유로 사이버 보안 관련 거부 반응을 약화시킨 상태에서 평가를 진행했다.
다음 읽을거리: FOMC 앞두고 XRP 단기 상단, 1.25달러선 형성
