Badacze bezpieczeństwa z firmy Accomplish AI pokazali, że Claude Cowork firmy Anthropic mógł wydostać się z lokalnej maszyny wirtualnej i uzyskać dostęp do plików na komputerze Mac. W demonstracji agent odczytywał między innymi klucze SSH oraz dane uwierzytelniające do usług chmurowych. Atak nazwany SharedRoot wykorzystywał lukę w jądrze Linuksa, a następnie specjalnie skonfigurowane współdzielenie systemu plików między maszyną wirtualną a systemem macOS.
Lokalny tryb Claude Cowork uruchamia zadania w maszynie wirtualnej z Linuksem. Ma to ograniczać skutki działań agenta, jednak środowisko udostępniało systemowi gościa pliki z komputera gospodarza przez zapisywalne montowanie VirtioFS. Dostęp do tego montowania miał być ograniczony do użytkownika root wewnątrz maszyny wirtualnej. Badacze znaleźli jednak sposób na podniesienie uprawnień zwykłego użytkownika sesji do poziomu root, wykorzystując lukę CVE-2026-46331, znaną jako pedit COW. Błąd znajduje się w podsystemie kontroli ruchu jądra Linuksa. Nieprawidłowa obsługa mechanizmu copy-on-write może prowadzić do zapisu poza dozwolonym obszarem współdzielonej pamięci podręcznej stron. Po uzyskaniu uprawnień root agent mógł korzystać z zasobów, do których miał dostęp zalogowany użytkownik Maca.
Accomplish AI poinformowało o ustaleniach 23 lipca i oceniło, że przed rozwiązaniem problemu narażonych mogło być około 500 tysięcy użytkowników macOS korzystających z lokalnych sesji Cowork. Według badaczy wystarczyło podłączyć folder do nowej sesji i wysłać krótką wiadomość, aby agent rozpoczął działanie prowadzące do wyjścia poza izolację. W demonstracji możliwy był odczyt i zapis plików na Macu, także poza wskazanym folderem, bez dodatkowego komunikatu z prośbą o zgodę.
Anthropic zamknęło zgłoszenie jako informacyjne, bez wydania bezpośredniej poprawki, jak wynika z relacji The Hacker News. W późniejszej wersji Claude Cowork domyślnym sposobem wykonywania zadań stała się chmura, co omija opisaną ścieżkę ucieczki z lokalnej maszyny wirtualnej. Użytkownicy, którzy nadal wybierają działanie lokalne, powinni ograniczyć współdzielenie systemu plików, wyłączyć nieuprzywilejowane przestrzenie nazw użytkowników i stosować restrykcyjne zabezpieczenia montowania. Przypadek SharedRoot wpisuje się w szerszą serię badań pokazujących, że bezpieczeństwo agentów AI zależy nie tylko od ich reguł działania, ale także od konfiguracji infrastruktury, w której są uruchamiane.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Sztuczna inteligencja uruchamiana bezpośrednio na komputerze lub innym urządzeniu, bez konieczności przesyłania danych do zewnętrznej chmury.
Informacje używane do potwierdzenia tożsamości użytkownika, programu lub usługi i uzyskania dostępu do zasobów.
Izolowane środowisko programowe, które emuluje komputer i pozwala uruchamiać system operacyjny gościa w ramach innego systemu, zwanego gospodarzem.
Mechanizm udostępniania plików między systemem gospodarza a systemem gościa w maszynie wirtualnej. Umożliwia programom działającym w środowisku wirtualnym dostęp do wskazanych katalogów gospodarza.
Uzyskanie przez użytkownika lub proces wyższych uprawnień niż te, które przydzielono mu początkowo, często wskutek luki w zabezpieczeniach.
Mechanizm, w którym współdzielone dane są kopiowane dopiero wtedy, gdy jeden z użytkowników lub procesów próbuje je zmienić.
Mechanizm izolacji w Linuksie, który pozwala procesom używać odrębnego odwzorowania identyfikatorów użytkowników i grup oraz związanych z nimi uprawnień.
Brak komentarzy. Bądź pierwszy!
