セキュリティ研究者は、Claude Cowork が Mac へのアクセスを制御するために設計されたサンドボックスから逃れることができることを実証しました。 ShareRoot と呼ばれるこのエクスプロイトにより、攻撃者は Mac 上の任意の場所に保存されているファイルを読み書きしたり、オンライン サービスの認証情報にアクセスしたりできる可能性があります。

約 50 万人の Mac ユーザーがコワーキング セッションを危険にさらされており、一部のユーザーは今でもこのエクスプロイトに対して脆弱なままです…

Claude Cowork を使用すると、AI チャットボットが Mac 上の選択されたファイルやフォルダーにローカル アクセスして、ユーザーに代わってタスクを実行できるようになります。

Anthropic は、ボットの暴走や攻撃者による使用に対して 2 つの保護を提供します。まず、Cowork はサンドボックスとして機能する仮想マシンで実行されます。次に、ユーザーは明示的にアクセス許可を与えられたファイルとフォルダーにのみアクセスできるようにする必要があります。しかし、 ハッカーニュース セキュリティ研究者が両方の保護を破る方法を発見したと報告しています。

サイバーセキュリティ研究者は、Anthropic の Claude Cowork にサンドボックス エスケープの脆弱性を発見しました。これにより、エージェントが実行されている Linux 仮想マシン (VM) の制限を突破して、Mac 上の任意の場所でファイルの読み取りまたは書き込みが可能になります。

Accomplish AI は、公開前にこの脆弱性の詳細を The Hacker News と共有しており、パッチが適用される前に、ローカルで Cowork セッションを実行している約 50 万人の macOS ユーザーが影響を受けたと述べました。コードネームは SharedRoot でした。

必要なのは短いメッセージだけで、セッションはユーザーに許可要求を 1 つも表示することなく、Mac 上の任意の場所でファイルの読み書きに無制限にアクセスできるようになりました。

アントロピックが答えたように、 テネシー州 一部のユーザーは依然として危険にさらされていると報告しています。

その後リリースされた Claude Cowork のバージョンは、デフォルトでクラウド実行となり、ローカルのエスケープ パスを完全にバイパスします。ただし、クラウドではなくローカルでエージェントを実行することを選択したユーザーは、特権のないユーザーの名前空間を無効にし、ファイル システムの共有を制限し、厳格なマウント保護を備えた Cowork デーモンを実行することで構成を強化しない限り、危険にさらされたままになります。

このニュースは、OpenAI エージェントもサンドボックスから脱出し、Hugging Face のサーバーをハッキングしたことが最近明らかになった後に発表されました。

Unsplash の James Harrison による写真