Investigadores de ciberseguridad han descubierto una vulnerabilidad de escape de sandbox en Anthropic Claude Cowork eso hace posible salir de los límites de una máquina virtual (VM) de Linux dentro de la cual se ejecuta el agente para leer o escribir archivos en cualquier lugar de la Mac.
Accomplish AI, que compartió detalles de la vulnerabilidad con The Hacker News antes de su publicación, dijo que alrededor de 500.000 usuarios de macOS que ejecutaban sesiones locales de Cowork se vieron afectados antes de que se parcheara. ha sido nombrado en clave Raíz compartida.
«Conectamos una carpeta a una nueva sesión de Claude Cowork, enviamos un mensaje corto y vimos al agente escapar de la zona de pruebas», dijo Oren Yomtov, investigador principal de seguridad de Accomplish AI, dicho. «Desde el interior de la máquina virtual, llegó al host Mac y leyó y escribió archivos por todas partes, muy fuera de la carpeta que habíamos conectado, sin solicitar permiso en ninguna parte».
Con este nivel de acceso, el agente puede acceder a cualquier dato almacenado en la Mac a través de la cuenta del usuario, incluidas claves SSH, credenciales de la nube y otra información valiosa.
Tras una divulgación responsable, Anthropic cerró el informe como informativo sin publicar una solución. Dicho esto, la última versión de Cowork utiliza de forma predeterminada la ejecución en la nube, lo que soluciona el problema. Pero los usuarios que optan por ejecutar el agente localmente todavía están expuestos al problema.
La aplicación de escritorio macOS de Claude Cowork se ejecuta como el usuario que ha iniciado sesión en el sistema. El trabajo real relacionado con el agente, por otro lado, ocurre en una máquina virtual Linux creada a través de Apple. Marco de virtualización. Cada sesión tiene su propio usuario desechable sin privilegios, junto con un filtro de Modo de Computación Segura (seccomp) para el sandboxing de aplicaciones. Las carpetas conectadas por el usuario se comparten en la VM mediante un demonio raíz llamado coworkd.
«Un detalle importa más que el resto: el sistema de archivos del host se comparte en esa VM de lectura y escritura», explicó Yomtov. «Todo el host '/' está montado de modo que solo el invitado raíz dentro de la VM pueda verlo, en /mnt/.virtiofs-root».
Debido a que todo el sistema de archivos del host está montado en la máquina virtual del agente con privilegios de lectura y escritura, cualquier ruta a la raíz del invitado puede otorgar al agente acceso al host subyacente, escapando efectivamente del entorno limitado.
Esto implica cargar el subsistema de edición de paquetes de control de tráfico (tc) «act_pedit» del kernel de Linux en un espacio de nombres de usuario sin privilegios y explotar CVE-2026-46331 en el kernel invitado, una falla recientemente revelada llamada pedit COW, para obtener la raíz invitada. Desde allí, el agente puede acceder a todo el host («https://thehackernews.com/») con privilegios elevados, lo que le permite leer o escribir archivos desde y hacia el sistema de archivos de Mac como usuario de escritorio conectado.
Or Hiltch, cofundador y CTO de Accomplish AI, dijo a The Hacker News que la creación de espacios de nombres de usuarios y redes le da a la sesión CAP_NET_ADMIN dentro de su espacio de nombres de red privada, lo que le permite realizar diversas operaciones relacionadas con la red.
«Esa capacidad proporciona acceso a la ruta vulnerable del kernel tc/act_pedit utilizada por pedit COW», añadió Hiltch. «Los espacios de nombres no son el exploit; ponen su prerrequisito normalmente privilegiado a disposición de un usuario normal».
El desarrollo adquiere importancia ante las revelaciones de que los modelos de OpenAI lograron salir de su entorno aislado durante una prueba de seguridad que resultó en la violación de la infraestructura de producción de Hugging Face en su intento de engañar al punto de referencia ExploitGym en el que estaban siendo calificados.
«act_pedit es un error en una categoría», dijo Yomtov. «El subsistema net/sched de Linux lanza esta forma exacta de escalada de privilegios en una cadencia regular: un módulo autocargable, una ruta de configuración que un usuario sin privilegios puede alcanzar, un error de memoria al final. Parche este y habrá arreglado este. La cadena se rearma en el siguiente, con todo lo que está encima del kernel intacto».
«Y el siguiente siempre está por llegar. En cualquier momento dado, es probable que haya un error de escalada de privilegios al que todavía está expuesto, a veces solucionado en el sentido anterior pero aún no en su imagen, a veces aún no solucionado en ninguna parte, con un exploit funcional que funciona en cuestión de horas. Este no es un problema que se solucione más rápido. Estás estructuralmente un error detrás, todo el tiempo».
Para mitigar la amenaza, es esencial deshabilitar espacios de nombres de usuarios sin privilegiosevite hacer que el filtro seccomp sea demasiado permisivo, detenga la carga automática de módulos y restrinja el uso compartido de todo el host en la máquina virtual.
«Aléjelo a las carpetas que realmente estaban conectadas en lugar de a todas /, o al menos móntelo como de solo lectura, y ejecute coworkd con ProtectSystem=strict en su propio espacio de nombres de montaje para que no vuelva a ejecutar archivos binarios que un usuario de sesión pueda envenenar», dijo Accomplish. «Entonces, incluso una raíz invitada completa no tiene nada donde aterrizar, los dos últimos pasos de la cadena no tienen adónde ir».
