SharedRoot: KI-agenten i Claude Cowork kunne rømme sin egen VM og lese hele Mac-disken

Sikkerhetsselskapet Accomplish AI har avdekket en sandbox-escape i Anthropics Claude Cowork som lot agenten bryte ut av den lokale Linux-VM-en og nå hele filsystemet på Mac-en, skriver The Hacker News. Rundt 500 000 macOS-brukere som kjørte lokale Cowork-økter var berørt før feilen ble lukket. Sårbarheten er døpt «SharedRoot».

Cowork kjører selve agent-arbeidet i en Linux-VM opprettet med Apples Virtualization-rammeverk, med en egen engangsbruker og et seccomp-filter per økt. Problemet ligger i hvordan mappene deles inn: en root-daemon kalt coworkd monterer hele vertens filsystem, «/», inn i VM-en med både lese- og skrivetilgang på stien /mnt/.virtiofs-root, synlig for guest-root.

«Vi koblet en mappe til en fersk Claude Cowork-økt, sendte én kort melding, og så agenten rømme sandkassen. Fra innsiden av VM-en nådde den verts-Mac-en og leste og skrev filer over hele den, langt utenfor mappen vi hadde koblet til, uten et eneste tillatelsesvindu.» — Oren Yomtov, sjefsforsker i Accomplish AI

Veien til guest-root går gjennom CVE-2026-46331, en nylig avdekket kjernefeil kalt «pedit COW». Agenten laster act_pedit-modulen i Linux-kjernens Traffic Control-subsystem inn i et uprivilegert user namespace, som gir CAP_NET_ADMIN i sitt eget nettverksnamespace og dermed tilgang til den sårbare kjernebanen. Med guest-root er hele «/» tilgjengelig, inkludert SSH-nøkler og skynøkler lagret under brukerkontoen.

«Namespacene er ikke selve utnyttelsen. De gjør den normalt privilegerte forutsetningen tilgjengelig for en helt vanlig bruker.» — Or Hiltch, medgründer og CTO i Accomplish AI

Anthropic lukket rapporten som «informative» uten å gi ut en fiks. Nyeste versjon av Cowork kjører som standard i skyen, noe som løser problemet, men de som velger å kjøre agenten lokalt er fortsatt eksponert. Accomplish AI mener dette er strukturelt: net/sched-subsystemet i Linux-kjernen kaster jevnlig av seg akkurat denne formen for privilegie-eskalering, så du er «strukturelt én feil bak, hele tiden».

Hva bør du gjøre?

1. Kjør Claude Cowork i sky-modus, ikke lokalt, hvis du er på en berørt macOS-versjon. Sky-eksekvering omgår hele klassen av VM-escape.
2. Kobler du en mappe til en lokal agent-økt, gå ut fra at agenten i verste fall kan nå hele disken. Ikke kjør slike økter på en maskin med SSH-nøkler eller skynøkler du ikke vil eksponere.
3. Bygger du egne agent-sandkasser: skru av uprivilegerte user namespaces, stopp autolasting av kjernemoduler, og del bare de faktisk tilkoblede mappene inn i VM-en, helst read-only, i stedet for hele «/».