Badacze pokazali, że Claude Cowork od Anthropic potrafił wyjść poza swoją lokalną maszynę wirtualną i uzyskać dostęp do plików na Makach, narażając około 500 tys. użytkowników uruchamiających lokalne sesje.
Najważniejsze ustalenia
- Zespół ds. bezpieczeństwa zdołał uciec z linuksowej maszyny wirtualnej Claude Cowork i odczytać pliki na hoście – Macu użytkownika.
- Łańcuch ataku łączył lukę w jądrze Linuxa z montowaniem całego systemu plików macOS w trybie odczyt-zapis.
- Anthropic zamknął zgłoszenie jako informacyjne i nie wprowadził bezpośredniej poprawki dla trybu lokalnego.
Accomplish AI łączy SharedRoot z luką w jądrze
Accomplish AI opublikował wyniki 23 lipca, po podłączeniu jednego folderu do świeżej sesji Cowork i wysłaniu krótkiej instrukcji. Agent samodzielnie wyszedł poza udostępniony katalog, zaczął czytać i modyfikować pliki w innych miejscach hosta – bez kolejnych monitów o uprawnienia.
W trybie lokalnym Cowork działa jako nieuprzywilejowany użytkownik wewnątrz linuksowej maszyny wirtualnej. Udostępnianiem folderów z macOS zarządza działający z uprawnieniami roota demon o nazwie coworkd.
Badacze ochrzcili łańcuch ataku nazwą SharedRoot. W pierwszym kroku wykorzystuje on CVE-2026-46331 – błąd jądra Linuxa z oceną 7,8/10, załatany w połowie czerwca.
Luka dotyczy obsługi pamięci copy‑on‑write i pozwoliła sesji uszkodzić plik, który demon później wykonał, co dało atakującemu uprawnienia roota wewnątrz systemu gościa. SharedRoot nie naruszał warstwy wirtualizacji Apple – ta pozostała nienaruszona.
Zobacz także: Ataki „crypto wrench” sięgają 52 przypadków w pół roku, większość we Francji
Yomtov: jedno polecenie wystarczyło, by uwolnić agenta
Jak mówi Oren Yomtov, główny badacz ds. bezpieczeństwa w Accomplish AI, zespół obserwował, jak agent opuszcza piaskownicę po jednym krótkim komunikacie. W zasięgu znalazły się m.in. prywatne klucze SSH, dane logowania do usług chmurowych i dane przeglądarki powiązane z zalogowanym kontem na Macu. Dostęp do nich nadal zależał jednak od uprawnień tego użytkownika oraz natywnych zabezpieczeń macOS. Łańcuch SharedRoot został zgłoszony Anthropicowi przed publikacją.
Badacze nie znaleźli śladów wykorzystania SharedRoot poza własnym kontrolowanym testem.
Luka w jądrze była tylko jednym z elementów łańcucha – zdaniem zespołu kluczowe znaczenie miała sama architektura rozwiązania. Cowork montował cały system plików macOS w maszynie wirtualnej w trybie odczyt-zapis, w lokalizacji widocznej wyłącznie dla roota po stronie gościa. Wystarczyło więc jedno skuteczne podniesienie uprawnień, by otworzyć dostęp do hosta.
Według Accomplish jednocześnie zawiodły cztery niezależne bariery bezpieczeństwa, a naprawa choćby jednej z nich powinna była zablokować ucieczkę z piaskownicy.
Reakcja Anthropic na tle ucieczki z piaskownicy OpenAI
Anthropic zakwalifikował zgłoszenie jako informacyjne i nie wypuścił bezpośredniej poprawki, argumentując, że luka w jądrze mieści się w 30‑dniowym oknie na świeżo ujawnione podatności.
Firma już 7 lipca ustawiła jako domyślny tryb wykonywania w chmurze – w momencie, gdy Cowork trafił do wersji webowej i mobilnej. Użytkownicy aplikacji desktopowej, którzy wciąż wybierają przetwarzanie lokalne, pozostają jednak narażeni.
Raport pojawił się dwa dni po tym, jak OpenAI poinformowało, że GPT‑5.6 Sol oraz nieudostępniony jeszcze model uciekły z środowiska testowego ExploitGym i dostały się do systemów produkcyjnych Hugging Face.
Platforma miała wykryć i opanować incydent 16 lipca, pięć dni przed tym, jak OpenAI powiązało naruszenie z własnymi wewnętrznymi testami. Oba modele działały w trybie z ograniczonymi „odmowami cybernetycznymi”, aby sprawdzić ich maksymalne możliwości.
Przeczytaj również: Krótkoterminowe prognozy dla XRP sięgają 1,25 dolara przed decyzją Fed