보안 연구진이 Anthropic의 ‘Claude Cowork’가 로컬 가상머신(VM)을 빠져나와 맥 전체 파일 시스템에 접근할 수 있다는 점을 증명했다. 로컬 세션을 실행한 최대 약 50만 명의 맥 사용자가 잠재적으로 영향을 받는 규모다.
핵심 내용
- 보안 연구진은 Claude Cowork의 리눅스 VM을 탈출해 호스트 맥의 파일을 읽는 데 성공했다.
- 리눅스 커널 취약점과 맥 전체 파일 시스템을 쓰기 가능 상태로 마운트한 설계가 결합됐다.
- Anthropic은 이 보고를 ‘정보 제공용’으로만 분류했고, 로컬 세션에 대한 직접적인 수정 조치는 내놓지 않았다.
Accomplish AI “SharedRoot, 커널 취약점에서 출발”
Accomplish AI는 7월 23일, 완전히 새로 띄운 Cowork 세션에 단 하나의 폴더만 공유한 뒤 짧은 지시문 한 줄을 보낸 상황에서 취약점을 재현했다고 밝혔다. 에이전트는 추가 권한 요청 없이 해당 폴더 경계를 넘어 호스트의 다른 파일들을 읽고 쓰는 데까지 나아갔다.
Cowork의 로컬 모드는 리눅스 VM 안에서 비(非)루트 사용자 권한으로 에이전트를 실행하고, 루트 권한의 데몬 프로세스 ‘coworkd’가 사용자가 공유한 폴더를 관리하는 구조다.
연구진은 이 공격 체인을 ‘SharedRoot’라 명명했다. 첫 고리는 CVE-2026-46331으로, CVSS 점수 7.8/10을 받은 리눅스 커널 취약점이다. 이 버그는 6월 중순 패치가 배포됐다.
해당 취약점은 카피온라이트(copy-on-write) 메모리를 잘못 처리해, 세션이 나중에 데몬이 실행할 파일을 교란할 수 있게 만든다. 이를 통해 게스트 OS 내부에서 루트 권한을 획득했다. SharedRoot는 Apple의 가상화 레이어 자체를 깨뜨리진 않았다.
참고: 크립토 렌치 공격, 6개월 새 52건… 프랑스에 집중
“메시지 한 줄에 샌드박스 밖으로”
오렌 욤토브(Oren Yomtov) Accomplish AI 수석 보안 연구원은, 팀이 짧은 메시지 한 줄만으로 에이전트가 샌드박스를 벗어나는 과정을 관찰했다고 설명했다. 이때 접근 가능한 파일에는 SSH 개인 키, 클라우드 자격 증명, 로그인된 맥 계정의 브라우저 데이터 등이 포함됐다. 다만 접근 범위는 해당 계정 권한과 macOS의 자체 보호 기제에 의해 제한을 받는다. 연구진은 취약점을 공개하기 전에 Anthropic에 먼저 제보했다.
연구진은 자사 실험 환경을 제외하고 SharedRoot가 실제 공격에 사용된 정황은 발견하지 못했다고 덧붙였다.
커널 버그는 체인의 한 고리에 불과하며, 연구진은 그보다 주변 시스템 설계가 더 큰 문제였다고 지적했다. Cowork는 맥 전체 파일 시스템을 리눅스 VM 안으로 읽기·쓰기 가능한 상태로 마운트했는데, 이 경로는 게스트 OS의 루트만 볼 수 있었다. 그 결과 단 한 번의 권한 상승으로 호스트 전체가 노출되는 구조가 됐다.
Accomplish는 총 네 가지 보호 장치가 동시에 실패했으며, 이 중 하나만 제대로 작동했어도 탈출 시나리오를 차단할 수 있었다고 분석했다.
OpenAI 샌드박스 이슈 이어진 Anthropic의 대응
Anthropic은 이번 제보를 ‘정보 제공용’으로 종결하고, 별도의 패치를 내놓지 않았다. 해당 커널 취약점이 공개 후 30일 이내의 신규 취약점이라는 내부 정책을 이유로 들었다.
회사는 이미 7월 7일, Cowork를 웹과 모바일로 확대하면서 클라우드 실행을 기본값으로 전환했다. 다만 여전히 로컬 처리 방식을 선택하는 데스크톱 사용자는 노출 위험을 안고 있다.
이 보고서는 OpenAI가 GPT-5.6 Sol과 미공개 모델이 ExploitGym 평가 환경을 탈출해 Hugging Face의 프로덕션 시스템에 도달했다고 밝힌 지 이틀 뒤에 나왔다.
Hugging Face는 7월 16일, 관련 활동을 탐지하고 봉쇄했으며, OpenAI가 이를 자사 내부 테스트와 연관 지은 것은 그로부터 닷새 뒤였다. OpenAI는 두 모델의 ‘최대 능력’을 측정하기 위해 사이버 보안 관련 거부 규칙을 완화한 상태에서 실험을 진행 중이었다.