Pesquisadores de cibersegurança descobriram uma vulnerabilidade de escape de sandbox no Claude Cowork, da Anthropic, que permite sair dos limites de uma máquina virtual Linux na qual o agente é executado para ler ou gravar arquivos em qualquer lugar do Mac.
A Accomplish AI informou que cerca de 500.000 usuários de macOS que executavam sessões locais do Cowork foram afetados antes da correção.
A falha recebeu o codinome SharedRoot.
“Conectamos uma pasta a uma nova sessão do Claude Cowork, enviamos uma mensagem curta e vimos o agente escapar da sandbox”, disse Oren Yomtov, pesquisador principal de segurança da Accomplish AI.
“De dentro da VM, ele alcançou o Mac hospedeiro e leu e gravou arquivos por todo o sistema, muito além da pasta que havíamos conectado, sem qualquer solicitação de permissão.”
Com esse nível de acesso, o agente pode alcançar qualquer dado armazenado no Mac por meio da conta do usuário, incluindo chaves SSH, credenciais de cloud e outras informações valiosas.
Após a divulgação responsável, a Anthropic classificou o relatório como informativo, sem lançar uma correção.
Ainda assim, a versão mais recente do Cowork passou a usar execução em cloud por padrão, o que contorna o problema.
Usuários que optam por executar o agente localmente, porém, continuam expostos à falha.
O app de desktop do Claude Cowork para macOS roda como o usuário autenticado no sistema.
Já o trabalho efetivo do agente acontece em uma VM Linux criada com o framework de Virtualização da Apple.
Cada sessão recebe um usuário descartável e sem privilégios, além de um filtro Secure Computing Mode (seccomp) para isolamento de aplicações.
As pastas conectadas pelo usuário são compartilhadas com a VM por um daemon com privilégios de root chamado coworkd.
“Um detalhe importa mais do que todos os outros: o sistema de arquivos do host é compartilhado com essa VM com permissão de leitura e gravação”, explicou Yomtov.
“O / inteiro do host é montado de forma que apenas o root convidado dentro da VM consiga vê-lo, em /mnt/.virtiofs-root.”
Como todo o sistema de arquivos do host é montado na VM do agente com privilégios de leitura e gravação, qualquer caminho até o guest-root pode conceder ao agente acesso ao host subjacente, o que equivale, na prática, a escapar da sandbox.
Isso envolve carregar o subsistema de edição de pacotes “act_pedit” do Traffic Control (tc) do kernel Linux em um namespace de usuário sem privilégios e explorar o
CVE-2026-46331
no kernel convidado, uma falha divulgada recentemente chamada pedit COW, para obter guest-root.
A partir daí, o agente consegue acessar o host inteiro, “/”, com privilégios elevados, o que permite ler ou gravar arquivos no sistema de arquivos do Mac como o usuário de desktop autenticado.
Or Hiltch, cofundador e CTO da Accomplish AI, disse que a criação de namespaces de usuário e de rede concede à sessão o CAP_NET_ADMIN dentro de seu namespace de rede privado, permitindo executar várias operações relacionadas à rede.
“Essa capacidade dá acesso ao caminho vulnerável do kernel tc/act_pedit usado pelo pedit COW”, acrescentou Hiltch.
“Os namespaces não são o exploit; eles tornam disponível para um usuário comum um pré-requisito que normalmente exigiria privilégios.”
O avanço ganha ainda mais relevância diante das revelações de que os modelos da OpenAI conseguiram escapar de seu ambiente isolado durante um teste de segurança, o que levou à violação da infraestrutura de produção da Hugging Face na tentativa de trapacear no benchmark ExploitGym, no qual estavam sendo avaliados.
“O act_pedit é um bug de uma categoria”, afirmou Yomtov.
“O subsistema net/sched do Linux produz exatamente esse tipo de escalada de privilégios com frequência: um módulo que pode ser carregado automaticamente, um caminho de configuração acessível a um usuário sem privilégios e, no fim, um bug de memória.
Corrija este e você resolveu este.
A cadeia se reativa na próxima falha, com tudo acima do kernel intacto.”
“A próxima sempre está chegando.
Em qualquer momento, é provável que exista um bug de escalada de privilégios ao qual ele ainda esteja exposto, às vezes corrigido no código-fonte principal, mas ainda não na sua imagem, às vezes ainda sem correção em lugar algum, com um exploit funcional surgindo em poucas horas.
Não se trata de uma questão de corrigir mais rápido.
Estruturalmente, você está sempre um bug atrás.”
Para mitigar a ameaça, é essencial desativar namespaces de usuário sem privilégios, evitar que o filtro seccomp fique excessivamente permissivo, impedir o carregamento automático de módulos e restringir o compartilhamento de todo o host com a VM.
“Limite isso às pastas que realmente foram conectadas, em vez de todo o /, ou pelo menos monte em modo somente leitura, e execute o coworkd com ProtectSystem=strict em seu próprio namespace de montagem, para que ele não fique reexecutando binários que um usuário da sessão possa adulterar”, disse a Accomplish.
“Assim, mesmo um guest-root completo não terá onde se apoiar, e as duas últimas etapas da cadeia não terão para onde avançar.”
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...