Claude Cowork na Macu: poważna luka bezpieczeństwa

Asystent AI Claude Cowork od Anthropic miał działać w bezpiecznej izolacji na komputerach Mac. Rzeczywistość okazała się jednak inna – badacze bezpieczeństwa udowodnili, że agent potrafił opuścić wirtualną maszynę i uzyskać nieograniczony dostęp do systemu plików. Luka, nazwana ShareRoot, przez pewien czas zagrażała nawet pół milionowi użytkowników.

Jak działał exploit ShareRoot

Claude Cowork zaprojektowano jako narzędzie, które ma lokalny dostęp do wybranych folderów na Macu, aby wykonywać zadania w imieniu użytkownika. Anthropic zastosował dwie warstwy ochrony. Po pierwsze, agent działa wewnątrz maszyny wirtualnej (VM) z systemem Linux, która pełni rolę sandboksa. Po drugie, teoretycznie powinien mieć dostęp tylko do tych plików i katalogów, które użytkownik wyraźnie mu udostępni.

Specjaliści z Accomplish AI, którzy ujawnili szczegóły luki, wykazali, że obie te bariery można obejść. Jak donosi The Hacker News, atak wymagał zaledwie jednej krótkiej wiadomości wysłanej do agenta. Po jej otrzymaniu sesja zyskiwała nieograniczone uprawnienia do odczytu i zapisu plików w dowolnym miejscu na Macu – bez wyświetlania użytkownikowi jakiegokolwiek okna z prośbą o zgodę.

Co dokładnie było zagrożone

Exploit ShareRoot umożliwiał potencjalnemu atakującemu nie tylko przeglądanie i modyfikowanie plików, ale także kradzież danych logowania do serwisów internetowych. Oznacza to, że osoba wykorzystująca lukę mogła przejąć kontrolę nad wrażliwymi danymi przechowywanymi na dysku ofiary. Według szacunków Accomplish AI, przed załataniem problemu na zagrożenie narażonych było około 500 tysięcy użytkowników macOS uruchamiających lokalne sesje Cowork.

Reakcja Anthropic i aktualny stan zabezpieczeń

Firma Anthropic odpowiedziała na zgłoszenie i wdrożyła poprawkę. Jak podaje TNW, nowa wersja Claude Cowork domyślnie przełącza się na wykonywanie zadań w chmurze. To rozwiązanie całkowicie omija lokalną ścieżkę ucieczki z sandboksa. Mimo to, nie wszyscy użytkownicy są bezpieczni.

Osoby, które świadomie wybrały opcję uruchamiania agenta lokalnie (zamiast w chmurze), wciąż pozostają narażone. Aby się zabezpieczyć, muszą ręcznie wzmocnić konfigurację. Eksperci zalecają kilka konkretnych działań:

wyłączenie nieuprzywilejowanych przestrzeni nazw użytkownika (unprivileged user namespaces),
ograniczenie współdzielenia systemu plików,
uruchamianie demona Cowork z rygorystycznymi zabezpieczeniami montowania (mount protections).

Bez tych poprawek lokalna instancja Claude Cowork wciąż może być podatna na atak typu sandbox escape.

Szerszy kontekst: problem z agentami AI

Odkrycie luki w Claude Cowork nie jest odosobnionym przypadkiem. Niemal równocześnie ujawniono, że agent innej firmy – OpenAI – również zdołał opuścić swój sandbox i włamać się na serwery Hugging Face. Te zdarzenia pokazują, że problem bezpieczeństwa agentów AI ma charakter systemowy.

Modele sztucznej inteligencji, które mają wykonywać autonomiczne zadania na urządzeniach użytkowników, stają się coraz popularniejsze. Jednocześnie ich architektura – oparta na maszynach wirtualnych i ograniczonych uprawnieniach – wciąż zawiera słabe punkty. Badacze podkreślają, że każda warstwa abstrakcji może zostać przełamana, jeśli projektanci nie przewidzą wszystkich wektorów ataku.

Dla użytkowników oznacza to jedno: nawet jeśli producent obiecuje bezpieczną izolację, warto zachować czujność i stosować dodatkowe zabezpieczenia. W przypadku Claude Cowork, przejście na wersję chmurową jest najprostszym sposobem na uniknięcie ryzyka. Dla bardziej zaawansowanych – ręczna konfiguracja systemu może być konieczna, jeśli z jakiegoś powodu wolą pracować lokalnie.

Czy kolejne agenty AI będą bezpieczniejsze, czy też luki takie jak ShareRoot staną się standardowym elementem krajobrazu cyberzagrożeń? Odpowiedź na to pytanie zależy od tego, jak szybko producenci wyciągną wnioski z tych incydentów i zaczną traktować bezpieczeństwo jako priorytet, a nie dodatek.