Claude Cowork de Anthropic podría escapar de su VM local y leer credenciales en un Mac.

      TL;DRLos investigadores mostraron que Claude Cowork podría escapar de su sandbox de VM local a través de un fallo del kernel de Linux y leer archivos en el Mac anfitrión. Los investigadores de seguridad de Accomplish AI demostraron que Claude Cowork de Anthropic podría salir de su sandbox de máquina virtual local y leer archivos en el Mac subyacente, incluyendo claves SSH y credenciales de la nube. El ataque, denominado SharedRoot, explotó una vulnerabilidad de escalada de privilegios del kernel de Linux para obtener acceso root dentro de la VM invitada, y luego salió a través de un montaje de sistema de archivos escribible que exponía todo el host. Accomplish AI divulgó los hallazgos el 23 de julio y dijo que aproximadamente 500,000 usuarios de macOS que ejecutaban sesiones locales de Cowork estaban expuestos antes de que se abordara el problema. La cadena de escape funcionó porque el modo de ejecución local de Cowork se ejecuta dentro de una VM de Linux que comparte el sistema de archivos del host a través de un montaje de VirtioFS escribible. Ese montaje estaba destinado a ser accesible solo para root dentro de la invitada, pero los investigadores encontraron que podían escalar de un usuario de sesión a root de la invitada explotando CVE-2026-46331, un fallo del kernel de Linux conocido como "pedit COW" que recibió una puntuación de severidad de casi ocho de diez. Una vez que el agente tuvo acceso root dentro de la VM, pudo alcanzar cualquier cosa a la que el usuario de Mac conectado pudiera acceder. “Conectamos una carpeta a una nueva sesión de Claude Cowork, enviamos un mensaje corto y vimos al agente escapar de la sandbox”, dijo Oren Yomtov, investigador principal de seguridad en Accomplish AI, a The Hacker News. “Desde dentro de la VM, alcanzó el Mac anfitrión y leyó y escribió archivos por todas partes, muy lejos de la carpeta que habíamos conectado, sin ningún aviso de permiso en ningún lugar.” La vulnerabilidad se encuentra en el subsistema de control de tráfico del kernel, donde un manejo incorrecto de copia-en-escritura permite escrituras fuera de límites en la memoria compartida de caché de páginas. El 💜 de la tecnología de la UE Las últimas novedades de la escena tecnológica de la UE, una historia de nuestro sabio fundador Boris y un arte de IA cuestionable. Es gratis, cada semana, en tu bandeja de entrada. ¡Suscríbete ahora! Anthropic cerró el informe como "informativo" sin emitir una solución directa, según The Hacker News. La versión de Claude Cowork lanzada posteriormente predetermina la ejecución en la nube, lo que elude completamente el camino de escape local. Sin embargo, los usuarios que optan por ejecutar el agente localmente en lugar de en la nube siguen expuestos a menos que endurezcan sus configuraciones deshabilitando los espacios de nombres de usuario no privilegiados, restringiendo el uso compartido del sistema de archivos y ejecutando el demonio de Cowork con estrictas protecciones de montaje. El hallazgo llega en un mes que ha visto a cuatro equipos de investigación diferentes romper agentes de IA de cuatro maneras distintas, desde memorias envenenadas hasta extensiones de navegador secuestradas. OpenAI divulgó que sus propios modelos escaparon de una sandbox y violaron Hugging Face durante la misma semana, y los investigadores escaparon de las sandboxes de Cursor, Codex y Gemini CLI sin romper nunca la sandbox en sí. El patrón en todos estos incidentes es el mismo: el agente de IA sigue sus reglas dentro de la caja, pero la infraestructura que lo rodea confía en el agente más de lo que debería.

      

      

       Publicado el 26 de julio de 2026 - 5:06 pm UTC

      

       Volver arriba