Claude Kowerk de Anthropic puede escapar de su VM local y leer las credenciales de Mac
TL; DR
Los investigadores han demostrado que Claude Cowork puede eludir su zona de pruebas de VM local a través de una falla del kernel de Linux y leer archivos en Mac host.
Los investigadores de seguridad de Accomplice AI han demostrado que Claude Cowork de Anthropic puede salir de la zona de pruebas de su máquina virtual local y leer archivos en la Mac subyacente, incluidas claves SSH y credenciales de nube. El ataque, llamado SharedRoot, aprovechó una vulnerabilidad de escalada de privilegios del kernel de Linux para obtener acceso raíz dentro de una VM invitada, luego procedió a través de un montaje del sistema de archivos grabable que expuso todo el host. Accomplice AI publicó los hallazgos el 23 de julio y dijo que casi 500.000 usuarios de macOS que ejecutaban sesiones locales de CoWork quedaron expuestos antes de que se solucionara el problema.
La cadena de escape funcionó porque el modo de ejecución local de Cowork se ejecutaba dentro de una máquina virtual Linux que compartía el sistema de archivos del host a través de un montaje VirtioFS grabable. Se pretendía que este montaje fuera accesible solo para el root dentro de los invitados, pero los investigadores descubrieron que podían explotar CVE-2026-46331 para permitir que una sesión pasara del usuario al root invitado, una falla del kernel de Linux conocida comovaca pedida", al que se le dio una puntuación de gravedad de aproximadamente ocho sobre diez. Una vez enraizado dentro de la máquina virtual del agente, puede llegar a cualquier cosa que un usuario de Mac haya iniciado sesión.
"Adjuntamos una carpeta a una nueva sesión de cowork, enviamos un breve mensaje y vimos al agente escapar de la zona de pruebas.Oren Yomtov, investigador principal de seguridad de Accomplish AI, dijo a The Hacker News.Desde el interior de la VM, llega al host Mac y lee y escribe todos sus archivos, sin solicitar ningún permiso en ningún lugar fuera de la carpeta que montaremos.La vulnerabilidad se encuentra en el subsistema de control de tráfico del kernel, donde el manejo incorrecto de copia en escritura permite escrituras fuera de límites en la memoria caché de página compartida.
💜 de tecnología de la UE
Los últimos rumores de la escena tecnológica de la UE, una historia de nuestro sabio fundador Boris y algo de arte de inteligencia artificial dudoso. Es gratis, todas las semanas, en tu bandeja de entrada. ¡Regístrate ahora!
El informe antropológico cerró "informativoSegún The Hacker News, sin emitir directamente una solución. Posteriormente, la versión de Cloud CoWork utiliza de forma predeterminada la ejecución en la nube, lo que evita por completo las rutas de escape locales. Sin embargo, los usuarios que eligen ejecutar el agente localmente en lugar de en la nube permanecen descubiertos, a menos que refuercen sus configuraciones activando el sistema de archivos onprevisist file, reprevisist. Demonio peer con estricta protección de montaje.
Los hallazgos llegan inmediatamente después de un mes en el que cuatro equipos de investigación separados observaron a los agentes de IA accediendo de cuatro maneras diferentes, desde memoria envenenada hasta extensiones de navegador secuestradas. OpenAI reveló que sus propios modelos escaparon de una caja de arena y violaron Hug Face en la misma semana, y los investigadores escaparon de las cajas de arena de Cursor, Codex y Gemini CLI sin romper la caja de arena en sí. Todos estos fenómenos tienen el mismo patrón: el agente de IA sigue sus reglas dentro de la caja, pero la infraestructura que lo rodea confía más en el agente que él.
