Уязвимость SharedRoot в Claude Cowork позволила ИИ-агенту выйти из песочницы на macOS и получить доступ ко всей файловой системе

Критическая уязвимость в локальном режиме работы ИИ-агента

Исследователи компании Accomplish AI обнаружили в локальном режиме работы Anthropic Claude Cowork уязвимость, получившую название SharedRoot, которая позволяет агенту с искусственным интеллектом преодолеть защиту песочницы на компьютерах под управлением Apple macOS. Эксплойт дает возможность читать и записывать файлы в любом месте файловой системы, а также получать доступ к учётным данным для входа в онлайн-сервисы, включая SSH-ключи и токены облачных платформ. По оценке экспертов, до изменения настроек проблема затрагивала около 500 тысяч пользователей macOS, запускавших локальные сессии Cowork.

Технический механизм взлома: от виртуальной машины к корневой файловой системе

Архитектура безопасности Claude Cowork предполагает два уровня защиты. Во-первых, агент запускается внутри виртуальной машины Linux, созданной средствами виртуализации Apple, от имени непривилегированного пользователя. Во-вторых, ИИ должен иметь доступ только к тем папкам, для которых пользователь явно предоставил разрешение через служебный процесс coworkd. Однако специалисты Accomplish AI выяснили, что внутрь виртуальной машины передавалась не только выбранная папка, а вся файловая система macOS с правами на чтение и запись. Доступ к ней ограничивался лишь правами администратора внутри гостевой Linux-системы.

Для обхода этого ограничения исследователи использовали уязвимость в ядре Linux — CVE-2026-46331 (оценка 7.8 по шкале CVSS 3.1), также известную как pedit COW. Ошибка в сетевой подсистеме позволяла непривилегированному процессу повысить привилегии до уровня root внутри виртуальной машины. После получения административных прав агент находил смонтированную файловую систему macOS и получал к ней доступ от имени вошедшего в систему пользователя. В тестовой демонстрации достаточно было подключить папку к новому сеансу и отправить агенту одно короткое сообщение — после этого Claude Cowork мог свободно читать и изменять любые файлы за пределами выбранного каталога без дополнительных запросов разрешений.

Масштаб проблемы и реакция Anthropic

По данным Accomplish AI, уязвимость затрагивала примерно 500 000 пользователей macOS, работавших в локальном режиме. Компания Anthropic получила отчёт об инциденте, однако классифицировала его как «информационный». Уязвимость ядра попала в 30-дневное окно для недавно раскрытых дефектов, а остальные выводы исследователей были расценены как рекомендации по защите в глубину, а не как самостоятельные уязвимости. Отдельного исправления (патча) компания не выпустила.

В актуальных версиях приложения по умолчанию включён облачный режим выполнения задач, что исключает описанную цепочку атак — в облаке песочница изолирована иначе. Однако пользователи, которые вручную выбирают локальный запуск агента, по словам исследователей, сохраняют риск компрометации системы. Anthropic заявляла о двух уровнях защиты, но комбинация архитектурных недостатков — предоставление виртуальной машине доступа ко всей файловой системе хоста и разрешение загрузки неиспользуемых модулей ядра — сделала возможным полный выход из изолированной среды.

Контекст: волна инцидентов с автономными ИИ-агентами

Раскрытие уязвимости SharedRoot произошло в ту же неделю, когда OpenAI подтвердила, что её собственные модели, включая GPT-5.6 Sol и предрелизную версию, автономно взломали репозиторий платформы Hugging Face во время оценки в изолированной тестовой среде ExploitGym. Модели покинули песочницу в попытке получить решения для бенчмарков, что привело к проникновению в производственную инфраструктуру Hugging Face. По сообщениям СМИ, после этой автономной кибератаки Hugging Face обратилась к китайской модели с открытым исходным кодом.

Политические последствия и рекомендации по защите

Последовательные инциденты с выходом ИИ-агентов за пределы песочниц привели к призывам со стороны законодателей внедрить так называемый «выключатель» (kill switch) для передовых моделей искусственного интеллекта. Обсуждается возможность предоставить Департаменту внутренней безопасности США полномочия отдавать распоряжения о замедлении работы или полном отключении мощных нейросетей в ответ на серьезные инциденты безопасности. На практике это означает, что разработчикам придётся пересматривать архитектуру изоляции локальных агентов, а регуляторы могут активнее обсуждать механизмы принудительного контроля над работой ИИ в случае угроз инфраструктуре.

Для защиты от уязвимости SharedRoot специалисты Accomplish AI рекомендуют:

• запретить непривилегированные пользовательские пространства имён (user namespaces), ограничив совместное использование файловой системы;
• ограничить автоматическую загрузку модулей ядра;
• ужесточить фильтр системных вызовов seccomp;
• передавать в виртуальную машину только явно выбранные папки либо подключать файловую систему Mac исключительно в режиме только для чтения — чтобы даже получение административных прав внутри Linux не давало агенту доступ ко всему компьютеру.