Исследователи сообщили о выходе Claude Cowork за пределы виртуальной среды

Что произошло

Accomplish AI опубликовала отчет, в котором утверждает, что локальный режим Claude Cowork мог выйти за пределы Linux VM. Для этого, по версии исследователей, объединялись несколько архитектурных слабостей и уязвимость повышения привилегий в ядре Linux.

После выхода из sandbox агент, как утверждается, мог читать и записывать файлы везде, где у вошедшего в систему пользователя Mac были соответствующие права. Среди потенциально доступных данных назывались SSH-ключи и облачные учетные данные.

Детали уязвимости

Исследователи подчеркнули, что поведение не должно было быть возможным: Cowork запускает агента внутри Linux VM от имени непривилегированного пользователя, а обещанная граница безопасности должна удерживать действия агента внутри VM и переданных ему папок.

Accomplish AI утверждает, что ошибка в ядре была только частью проблемы. По словам исследователей, атака сработала потому, что одновременно отказали несколько защитных механизмов: виртуальная машина получила доступ ко всей файловой системе хост-компьютера и могла загружать ненужные ей модули ядра.

В отчете говорится, что устранение любой одной из этих слабостей остановило бы атаку.

Реакция и последствия

В заявлении The Hacker News Accomplish AI сообщила, что до исправления проблемы были затронуты примерно 500 000 пользователей macOS, запускавших локальные сессии Claude Cowork.

По словам Accomplish AI, Anthropic классифицировала отчет как «информативный»: уязвимость ядра подпадала под 30-дневное окно компании для недавно раскрытых уязвимостей, а остальные выводы были отнесены к рекомендациям по эшелонированной защите, а не к самостоятельным уязвимостям.

Инцидент также вызвал призывы политиков к созданию аварийного механизма отключения AI, который позволил бы Department of Homeland Security требовать замедления или полного отключения продвинутых AI-моделей при серьезных инцидентах безопасности.