研究人員證實，Anthropic 的代理工具 Claude Cowork 在本機執行模式下，能從原本受限的虛擬機環境逸出，直接存取整台 Mac 的檔案，推估約有 50 萬名曾啟用本機工作階段的用戶一度暴露在風險之中。
重點整理：
- 資安研究員成功讓 Claude Cowork 逃出 Linux 虛擬機，讀取宿主 Mac 上的檔案。
- 攻擊鏈結合一項 Linux 核心漏洞，以及將整個 Mac 檔案系統以可讀寫方式掛載進虛擬機的設計。
- Anthropic 將這起通報列為「資訊性」回報，未針對本機工作階段推出直接修補。
Accomplish AI：SharedRoot 攻擊鏈指向核心漏洞
Accomplish AI 在 7 月 23 日公布這項研究。團隊只在全新的 Cowork 工作階段掛載一個資料夾，並送出一則簡短指令，代理便能突破該資料夾的邊界，在未再次跳出權限確認視窗的情況下，讀寫宿主系統其他路徑的檔案。
Cowork 的本機模式設計，是將代理程式以一般使用者身分跑在 Linux 虛擬機中，由具 root 權限的常駐程式 coworkd 負責管理使用者分享進來的資料夾。
研究團隊將這條攻擊鏈命名為 SharedRoot，其第一個關鍵環節是 CVE-2026-46331——一項 Linux 核心漏洞，CVSS 評分 7.8，已在 6 月中釋出修補。
該漏洞與寫入時複製（copy-on-write）記憶體處理有關，讓工作階段可以竄改一個稍後將被 daemon 程式執行的檔案，進而在客體系統內取得 root 權限。SharedRoot 攻擊從未突破 Apple 的虛擬化層本身。
延伸閱讀：加密貨幣「板手攻擊」半年累積 52 起案例 多數發生在法國
Yomtov：只用一則訊息就讓代理衝出沙盒
Accomplish AI 首席資安研究員 Oren Yomtov 表示，團隊實驗時，只發出一則短訊息，就親眼看到代理離開原本的沙盒邊界。理論上，代理可觸及的檔案包括 Mac 登入使用者的 SSH 私鑰、雲端服務憑證、瀏覽器資料等。
不過實際能否讀寫，仍受該使用者本身檔案權限與 macOS 安全機制限制。研究團隊已先行向 Anthropic 通報完整攻擊流程，之後才公開細節。
目前沒有跡象顯示，SharedRoot 在研究團隊控制實驗之外曾遭惡意利用。
研究員也強調，核心漏洞只是整條攻擊鏈的一環，周邊系統設計問題更關鍵。當時 Cowork 將整個 Mac 檔案系統，以可讀寫方式掛載進虛擬機內一個只有 guest root 看得到的路徑，一旦成功提權，宿主檔案等同完全攤開。
Accomplish 指出，這起事件中同時失效的防護機制多達四層，只要任一環節設計得當，就足以阻擋整條攻擊鏈。
OpenAI 剛爆沙盒逃脫事件 Anthropic 回應引發關注
Anthropic 將該通報列為「資訊性」案例結案，未推出直接修補，理由是涉及的 Linux 核心漏洞屬於新公開、仍在 30 天風險緩衝期內的問題。
公司其實已在 7 月 7 日，將雲端執行模式設為預設選項，並同步擴大 Cowork 至網頁與行動端。不過，仍選擇改用本機運算的桌面用戶，風險依舊存在。
這份報告公布的時間點，也緊接著 OpenAI 自揭家醜之後兩天——OpenAI 先前承認，GPT-5.6 Sol 以及一款尚未公開的模型，曾在 ExploitGym 評測環境中逃脫，進一步觸及 Hugging Face 的正式系統。
Hugging Face 方面在 7 月 16 日偵測並控制相關活動，比 OpenAI 之後在內部調查中將入侵行為與自家測試模型連結起來早了五天。當時 OpenAI 為測試模型的「最高潛在能力」，特意下調了其網安相關的自我限制。
