Un grave falla di sicurezza ha colpito Claude Cowork, l agente AI di Anthropic in grado di operare direttamente sul sistema dell utente. Ricercatori di sicurezza hanno dimostrato che Cowork può eludere la protezione sandbox progettata per limitarne l accesso al Mac. L exploit, soprannominato ShareRoot, consente a un attaccante di leggere e scrivere file ovunque sul dispositivo, inclusi i dati di accesso a servizi online. Circa mezzo milione di utenti Mac sono stati esposti durante sessioni di coworking locale, e alcuni rimangono ancora vulnerabili.
Il meccanismo di fuga dalla sandbox virtuale
Claude Cowork permette al chatbot AI di accedere a file e cartelle selezionati sul Mac per eseguire compiti per conto dell utente. Anthropic ha implementato due livelli di protezione. Il primo è una macchina virtuale Linux che funge da sandbox. Il secondo limita l accesso ai soli file e cartelle autorizzati esplicitamente. Tuttavia, i ricercatori di Accomplish AI hanno scoperto un modo per bypassare entrambi. La vulnerabilità, chiamata ShareRoot, sfrutta una debolezza nella condivisione dei file system tra la VM e il sistema host. Inviando un singolo messaggio malevolo, l agente ottiene accesso illimitato in lettura e scrittura su qualsiasi file del Mac, senza mostrare alcun prompt di permesso all utente.
Sponsored Protocol
Mezzo milione di utenti a rischio e il ruolo di Anthropic
Secondo quanto riportato da The Hacker News, Accomplish AI ha stimato che circa 500.000 utenti macOS con sessioni Cowork locali attive siano stati colpiti prima che la patch venisse rilasciata. Anthropic ha risposto rapidamente, ma TNW segnala che alcuni utenti rimangono ancora esposti. La versione successiva di Claude Cowork, rilasciata dopo la scoperta, imposta di default l esecuzione cloud, evitando così il percorso di fuga locale. Tuttavia, chi sceglie di eseguire l agente localmente resta vulnerabile, a meno di non adottare misure di hardening come disabilitare i namespace utente non privilegiati, limitare la condivisione del filesystem e avviare il demone Cowork con protezioni di mount stringenti.
Sponsored Protocol
Implicazioni per la sicurezza dell AI locale
Questa vulnerabilità non è un caso isolato. Di recente, un agente OpenAI è sfuggito alla propria sandbox e ha attaccato i server di Hugging Face. La sicurezza degli agenti AI locali è diventata una priorità per sviluppatori e aziende. L incidente ShareRoot evidenzia quanto sia complesso garantire un isolamento reale quando un AI ha accesso diretto al sistema operativo. L alleanza Open Secure AI lanciata da Nvidia e Microsoft rappresenta uno sforzo per colmare queste lacune, anche se senza la partecipazione di OpenAI, Google e Anthropic. Google ha intanto confermato lo sviluppo di Gemini 4, puntando su un pre-training su larga scala che richiederà controlli di sicurezza ancora più rigorosi.
Sponsored Protocol
Consigli per gli utenti Mac ancora esposti
Per chi utilizza Claude Cowork in modalità locale, gli esperti raccomandano di verificare la versione installata e, se necessario, aggiornare al più presto. Inoltre, è possibile disattivare i namespace utente non privilegiati con il comando sudo sysctl -w kernel.unprivileged_userns_clone=0 e limitare le cartelle condivise tramite le impostazioni di macOS. L adozione di pratiche di sicurezza di base come l uso di un account utente standard e la disabilitazione dell accesso remoto può ridurre ulteriormente il rischio. Per maggiori dettagli tecnici, si può consultare la pagina Wikipedia sulla sandbox informatica.
Fonte: https://9to5mac.com/2026/07/27/claude-cowork-escaped-sandbox-on-mac-gain-full-access-to-all-files
