Lỗ hổng Claude Cowork cho phép tác nhân AI thoát sandbox VM trên macOS
"Researchers disclosed a sandbox escape in Anthropic's Claude Cowork macOS app that could let a local AI agent break out of its Linux VM and read or write files on the host Mac. The attack chain used unprivileged namespaces and CVE-2026-46331 in the guest kernel to obtain guest-root, affecting an estimated 500,000 local macOS users before patching; Anthropic's current default cloud execution avoids the issue, while local runs remain exposed. Mitigations include disabling unprivileged user namespaces, tightening seccomp and module autoloading, and restricting host filesystem sharing into the VM."
Nguy cơ cao do có thể dẫn tới sandbox escape và ghi/đọc dữ liệu trên host macOS. Điểm then chốt gồm: CVE-2026-46331 trong kernel khách, khả năng đạt guest-root, và việc host filesystem được mount read-write vào VM.
Tác động đáng kể tới rủi ro rò rỉ dữ liệu và gián đoạn vận hành cho khách hàng chạy cục bộ. Các điểm cần lưu ý: phạm vi ảnh hưởng ước tính 500.000 người dùng trước khi vá, nguy cơ lộ secrets/credentials, và chi phí khắc phục phụ thuộc vào mức độ triển khai local vs cloud.
Các nhà nghiên cứu đã công bố một lỗ hổng sandbox escape trong ứng dụng macOS của Claude Cowork. Theo mô tả, khi tác nhân AI chạy trong một Linux VM (tạo qua Apple Virtualization framework), kẻ tấn công có thể phá vỡ ràng buộc sandbox để đọc/ghi tệp trực tiếp trên host macOS.
Accomplish AI cho biết chuỗi tấn công có tên mã SharedRoot đã ảnh hưởng đến khoảng 500.000 người dùng macOS chạy phiên Cowork cục bộ trước khi được vá. Kết quả thử nghiệm cho thấy tác nhân có thể truy cập dữ liệu vượt xa thư mục được chia sẻ ban đầu, bao gồm các thông tin nhạy cảm như SSH keys và cloud credentials.
Về kỹ thuật, VM nhận quyền truy cập read-write tới toàn bộ hệ thống tệp host (mount tại /mnt/.virtiofs-root). Lỗ hổng khai thác kết hợp unprivileged user namespaces và CVE-2026-46331 trong kernel khách để đạt quyền guest-root, từ đó mở rộng truy cập sang toàn bộ host.
Khuyến nghị: nếu có thể, ưu tiên cấu hình cloud execution; với chạy cục bộ, cần tắt unprivileged user namespaces, siết seccomp, hạn chế autoload module, và chỉ chia sẻ thư mục cần thiết (hoặc mount read-only) thay vì toàn bộ /.