Исследователи показали выход Claude Cowork из локальной VM с доступом к файлам на Mac

Исследователи безопасности из Accomplish AI продемонстрировали, что Claude Cowork от Anthropic может выйти из локальной виртуальной машины и получить доступ к файлам на хостовом Mac, включая SSH-ключи и облачные учетные данные. Как сообщает The Next Web (TNW), атака получила название SharedRoot.

По данным Accomplish AI, проблема связана с локальным режимом выполнения Cowork, который использует Linux VM с доступом к файловой системе Mac через записываемый VirtioFS mount. Исследователи использовали уязвимость повышения привилегий CVE-2026-46331, известную как «pedit COW», чтобы получить root-доступ внутри гостевой VM. После этого агент мог читать и изменять файлы, доступные пользователю macOS.

Accomplish AI раскрыла информацию об уязвимости 23 июля и заявила, что до исправления под угрозой находились около 500 тыс. пользователей macOS, запускавших локальные сессии Cowork. По данным The Hacker News, Anthropic закрыла отчет со статусом «informative» без отдельного исправления. Последующая версия Claude Cowork по умолчанию использует облачное выполнение, что исключает описанный путь выхода из песочницы.

В материале также отмечается, что за последний месяц несколько исследовательских команд продемонстрировали различные способы обхода ограничений ИИ-агентов. Среди них упоминаются инциденты с Cursor, Codex, Gemini CLI и моделями OpenAI.