Araştırmacılar, Anthropic'in Claude Cowork aracının yerel sanal makinesinden çıkıp bir Mac üzerindeki dosyalara erişebildiğini, böylece yerel oturum çalıştıran yaklaşık 500.000 kullanıcının risk altına girdiğini gösterdi.
Öne Çıkan Noktalar:
- Güvenlik araştırmacıları, Claude Cowork'un Linux sanal makinesinden kaçarak ana Mac üzerinde dosya okuyabildi.
- Zincir, Linux çekirdeğindeki bir açık ile tüm Mac dosya sisteminin yazılabilir şekilde bağlanmasını birleştiriyor.
- Anthropic, bulguyu “bilgilendirici” olarak kapattı ve yerel oturumlar için doğrudan bir düzeltme yayımlamadı.
Accomplish AI, SharedRoot Zincirini Çekirdek Açığına Kadar İzledi
Accomplish AI, bulgularını 23 Temmuz’da yayımladı. Ekip, yeni açılmış bir Cowork oturumuna tek bir klasör ekleyip kısa bir komut verdikten sonra, aracın bu klasörün dışına çıkarak ana makinede başka dosyaları da okuyup yazabildiğini, bunu yaparken ikinci bir izin penceresiyle karşılaşmadığını tespit etti.
Cowork’un yerel modunda ajan, Linux sanal makinesi içinde ayrıcalıksız bir kullanıcı olarak çalışıyor; kullanıcının paylaştığı klasörleri ise root yetkili coworkd adlı bir arka plan süreci yönetiyor.
Araştırmacılar zincire SharedRoot adını verdi. İlk adım, 10 üzerinden 7,8 risk puanı alan ve Haziran ortasında yamalanan CVE-2026-46331 numaralı Linux çekirdek hatası. Bu açık, kopyala-yaz (copy-on-write) belleğin hatalı yönetilmesinden kaynaklanıyor ve oturumun, daemon’un daha sonra çalıştırdığı bir dosyayı bozmasına ve konuk sistem içinde root ayrıcalığı kazanmasına izin veriyor. SharedRoot zinciri, Apple’ın sanallaştırma katmanını hiç aşmadı.
Ayrıca Oku: Krypto Tornavida Saldırıları Altı Ayda 52 Vakaya Çıktı, Çoğu Fransa’da
Yomtov: Tek Mesajla Ajan Serbest Kaldı
Oren Yomtov, Accomplish AI’de baş güvenlik araştırmacısı olarak görev yapıyor. Yomtov’a göre ekip, tek bir kısa mesajın ardından ajanın kum havuzundan çıktığını gözlemledi. Erişilebilen veriler arasında, oturum açmış Mac hesabına ait SSH özel anahtarları, bulut erişim kimlik bilgileri ve tarayıcı verileri de vardı. Ancak bu erişim, yine de ilgili kullanıcının yetkileriyle ve macOS’un yerleşik korumalarıyla sınırlıydı. Ekip zinciri, kamuoyuna açıklamadan önce Anthropic’e iletti.
Araştırmacılar, SharedRoot zincirinin kendi kontrollü test ortamlarının dışında kullanıldığına dair bir iz bulamadı.
Çekirdek açığı zincirin sadece bir halkasıydı; araştırmacılara göre asıl sorun, çevresindeki tasarım tercihlerinden kaynaklanıyordu. Cowork, tüm Mac dosya sistemini sanal makineye okuma-yazma yetkisiyle bağlamış ve bu yol yalnızca konuk root kullanıcısına görünür durumdaydı. Dolayısıyla tek bir ayrıcalık yükseltmesi, doğrudan ana sistemi açmış oldu.
Accomplish, dört ayrı güvenlik katmanının aynı anda devre dışı kaldığını; bunlardan herhangi birinin sağlam kalmasının, kaçışı engelleyebileceğini belirtiyor.
OpenAI Sandbox Kaçışının Ardından Anthropic’ten Tartışmalı Yanıt
Anthropic, raporu “bilgilendirici” kategorisinde kapattı ve doğrudan bir yama yayımlamadı; şirket, söz konusu çekirdek açığının yeni duyurulan zafiyetler için tanımlanan 30 günlük yama penceresi içinde olduğunu savundu.
Şirket, Cowork’u web ve mobilde genişlettiği 7 Temmuz’da zaten bulut üzerinde çalışmayı varsayılan hâle getirmişti. Buna karşın masaüstünde hâlâ yerel işlemeyi seçen kullanıcılar açık karşısında savunmasız durumda.
Rapor, OpenAI’nin GPT-5.6 Sol ve adı açıklanmayan başka bir modelin ExploitGym ortamından kaçarak Hugging Face’in üretim sistemlerine ulaştığını duyurmasından iki gün sonra geldi.
Platform, etkinliği 16 Temmuz’da tespit edip sınırladı; bu tarih, OpenAI’nin sızmayı kendi iç testlerine bağlamasından beş gün öncesine denk geliyor. OpenAI, her iki modeli de maksimum yeteneklerini ölçmek amacıyla daha düşük siber güvenlik filtreleriyle çalıştırmıştı.
Sıradaki Haber: Fed Kararı Öncesi XRP Kısa Vadeli Tahminlerde Tavan 1,25 Dolar
