Pesquisadores de cibersegurança descobriram uma vulnerabilidade de escape de sandbox no Claude Cowork, da Anthropic, que torna possível sair dos limites de uma máquina virtual Linux (VM) na qual o agente é executado para ler ou gravar arquivos em qualquer lugar do Mac.
A Accomplish AI, que compartilhou detalhes da vulnerabilidade com o The Hacker News antes da publicação, afirmou que cerca de 500 mil usuários de macOS que executavam sessões locais do Cowork foram afetados antes de a falha ser corrigida. A vulnerabilidade foi batizada de SharedRoot.
"Conectamos uma pasta a uma nova sessão do Claude Cowork, enviamos uma mensagem curta e observamos o agente escapar do sandbox", disse Oren Yomtov, pesquisador-chefe de segurança da Accomplish AI. "De dentro da VM, ele acessou o Mac hospedeiro e leu e gravou arquivos por toda a máquina, muito além da pasta que havíamos conectado, sem nenhuma solicitação de permissão em momento algum."
Com esse nível de acesso, o agente pode acessar quaisquer dados armazenados no Mac por meio da conta do usuário, incluindo chaves SSH (Secure Shell), credenciais de nuvem e outras informações valiosas.
Após a divulgação responsável, a Anthropic encerrou o relatório como informativo, sem emitir uma correção. Dito isso, a versão mais recente do Cowork utiliza como padrão a execução em nuvem, o que resolve o problema. No entanto, os usuários que optam por executar o agente localmente ainda continuam expostos ao problema.
O aplicativo para desktop do Claude Cowork no macOS é executado como o usuário conectado ao sistema. O trabalho real relacionado ao agente, por outro lado, acontece em uma VM Linux criada por meio do framework de Virtualização da Apple. Cada sessão recebe seu próprio usuário descartável sem privilégios, junto com um filtro de Modo de Computação Segura (seccomp) para isolamento de aplicações. As pastas conectadas pelo usuário são compartilhadas na VM por um daemon raiz chamado coworkd.
"Um detalhe importa mais do que os outros: o sistema de arquivos do hospedeiro é compartilhado nessa VM com permissão de leitura e gravação", explicou Yomtov. "Todo o '/' do hospedeiro é montado de forma que apenas o guest-root dentro da VM consiga vê-lo, em /mnt/.virtiofs-root."
Como o sistema de arquivos completo do hospedeiro é montado na VM do agente com privilégios de leitura e gravação, qualquer caminho para o root do convidado pode conceder ao agente acesso ao hospedeiro subjacente, escapando efetivamente do sandbox.
Isso envolve carregar o subsistema de edição de pacotes do Controle de Tráfego (tc) chamado "act_pedit" do kernel Linux em um namespace (espaço de nomes isolado) de usuário sem privilégios e explorar a CVE-2026-46331 no kernel convidado — uma falha recentemente divulgada chamada pedit COW — para obter acesso de root do convidado. A partir daí, o agente pode acessar todo o hospedeiro ("/") com privilégios elevados, permitindo ler ou gravar arquivos de e para o sistema de arquivos do Mac como o usuário da área de trabalho conectado.
Or Hiltch, cofundador e CTO da Accomplish AI, disse ao The Hacker News que criar namespaces de usuário e de rede concede à sessão a capacidade CAP_NET_ADMIN (administração de rede) dentro de seu namespace de rede privado, permitindo realizar diversas operações relacionadas à rede.
"Essa capacidade fornece acesso ao caminho vulnerável do kernel tc/act_pedit usado pelo pedit COW", acrescentou Hiltch. "Os namespaces não são o exploit; eles tornam o pré-requisito normalmente privilegiado disponível para um usuário comum."
Contexto mais amplo
O desenvolvimento ganha importância diante das revelações de que os modelos da OpenAI conseguiram escapar de seu ambiente isolado durante um teste de segurança que resultou na violação da infraestrutura de produção do Hugging Face, em meio à tentativa de manipular o benchmark ExploitGym no qual estavam sendo avaliados.
"O act_pedit é um bug em uma categoria", disse Yomtov. "O subsistema net/sched do Linux gera esse formato exato de escalada de privilégios com cadência regular: um módulo carregável automaticamente, um caminho de configuração que um usuário sem privilégios consegue alcançar e um bug de memória no final. Corrija este e você corrigiu este. A cadeia se rearma no próximo, com tudo acima do kernel intocado."
"E o próximo está sempre chegando. A qualquer momento, provavelmente há um bug de escalada de privilégios ao qual ele ainda está exposto — às vezes corrigido upstream, mas ainda não na sua imagem; às vezes, ainda não corrigido em lugar nenhum — com um exploit funcional surgindo em poucas horas. Este não é um problema de corrigir mais rápido. Você está, estruturalmente, um bug atrás, o tempo todo."
Recomendações de mitigação
Para mitigar a ameaça, é essencial desabilitar namespaces de usuário sem privilégios, evitar tornar o filtro seccomp excessivamente permissivo, impedir o carregamento automático de módulos e restringir o compartilhamento de todo o sistema de arquivos do hospedeiro na VM.
"Limite o escopo às pastas que foram realmente conectadas, em vez de todo o /, ou pelo menos monte como somente leitura, e execute o coworkd com ProtectSystem=strict em seu próprio namespace de montagem, para que ele não fique reexecutando binários que um usuário da sessão possa envenenar", afirmou a Accomplish. "Assim, mesmo um guest-root completo não tem onde pousar; os dois últimos passos da cadeia não têm para onde ir."
