Basta una cartella e l'agente di Claude Cowork legge tutto il Mac

Una cartella collegata, un breve messaggio inviato, e l'agente esce dalla sandbox. È la sequenza che i ricercatori di Accomplish AI hanno documentato su Claude Cowork, l'applicazione desktop di Anthropic che affida a un agente il lavoro dentro le cartelle che l'utente gli mette a disposizione. La catena di evasione è stata battezzata SharedRoot e riguarda le sessioni eseguite in locale sul Mac.

"Abbiamo collegato una cartella a una sessione nuova di Claude Cowork, inviato un breve messaggio e osservato l'agente evadere dalla sandbox", ha spiegato Oren Yomtov, a capo della ricerca sulla sicurezza di Accomplish AI. "Dall'interno della macchina virtuale ha raggiunto il Mac e ha letto e scritto file ovunque, ben al di fuori della cartella che avevamo collegato, senza alcuna richiesta di permesso." Con quel livello di accesso l'agente arriva a tutto ciò che l'account dell'utente può toccare: chiavi SSH, credenziali cloud, qualsiasi dato sul disco.

Per un agente il materiale non fidato è la norma, non l'eccezione: gli si dà in pasto il repository che non abbiamo scritto, il PDF ricevuto via email. Per questo la tenuta della sandbox è tutto ciò che separa una sciocchezza del modello da un modello che ha in mano le nostre credenziali cloud.

Come l'agente esce dalla macchina virtuale

L'architettura di Cowork è prudente: l'app gira sotto l'account dell'utente, ma il lavoro dell'agente avviene in una macchina virtuale Linux creata con il framework di virtualizzazione di Apple. Ogni sessione riceve un utente non privilegiato e usa e getta, un filtro seccomp che limita le chiamate di sistema, e le cartelle collegate vengono montate da un demone root chiamato coworkd.

L'intero filesystem dell'host viene condiviso dentro la VM in lettura e scrittura. Tutta la radice / del Mac, montata su /mnt/.virtiofs-root in modo che solo l'utente root del guest possa vederla. È il punto in cui si consuma l'evasione: l'host intero, scrivibile, a un solo confine di privilegio dalla sandbox.

La catena parte dall'utente non privilegiato, che con unshare crea una nuova user namespace in cui diventa root e ottiene tutte le capacità Linux, tra cui CAP_NET_ADMIN. Il guest lascia attive le user namespace non privilegiate: qui non c'è nessun exploit, solo una funzione del kernel che si poteva disattivare. Con quella capacità l'agente configura un'azione di traffic control che tira in ballo il modulo act_pedit, e il solo riferimento al modulo ne provoca il caricamento automatico.

Su quel kernel act_pedit è vulnerabile a CVE-2026-46331, il difetto noto come "pedit COW" e già pubblico su Ubuntu da giugno: permette di avvelenare la copia in cache di un file che si può soltanto leggere, senza toccare i byte su disco. L'agente sceglie allora un binario di supporto di proprietà di root, ne avvelena la copia in cache, e quando coworkd lo riesegue nel corso del suo lavoro manda in esecuzione la versione manomessa. Il processo che fa l'exec è già root, quindi la protezione che di norma impedisce di guadagnare privilegi attraverso un exec non ha nulla su cui agire. Da lì l'agente è root nel guest, vede /mnt/.virtiofs-root e scrive direttamente sul Mac come l'utente connesso.

"Le namespace non sono l'exploit", ha osservato Or Hiltch, cofondatore e CTO di Accomplish AI: "rendono disponibile a un utente ordinario un prerequisito normalmente riservato agli utenti privilegiati."

Anthropic non ha rilasciato una correzione

La segnalazione è stata inviata ad Anthropic, che l'ha chiusa come "Informative" senza ancora pubblicare una patch: la vulnerabilità del kernel rientrava nella finestra di 30 giorni esclusa dal programma di bug bounty, e le misure di rafforzamento proposte sono state lette come difesa in profondità più che come vulnerabilità a sé. La versione attuale di Cowork usa di default l'esecuzione in cloud, a cui questa evasione non si applica; chi però sceglie di far girare l'agente in locale resta esposto. Accomplish stima in circa 500.000 gli utenti macOS interessati prima della mitigazione.

Il punto dei ricercatori è che non si tratta di una singola falla da tappare. "act_pedit è un bug di una categoria", ha detto Yomtov: il sottosistema net/sched di Linux produce questa stessa forma di elevazione di privilegi a cadenza regolare, e correggere un modulo lascia intatto tutto ciò che sta sopra il kernel. Con la ricerca di vulnerabilità assistita dall'IA che accelera e la distanza tra correzione ed exploit funzionante ridotta a poche ore, il kernel del guest è di fatto sempre in ritardo di un bug.

Le contromisure, osserva Accomplish, non stanno nel kernel ma in quattro scelte sopra di esso, ciascuna in grado di spezzare la catena da sola: disattivare le user namespace non privilegiate, irrobustire il filtro seccomp, impedire il caricamento automatico dei moduli inutili e, soprattutto, non condividere l'intero host nella VM ma solo le cartelle effettivamente collegate, o almeno in sola lettura. Nell'immediato, per chi usa Cowork, l'esecuzione in cloud è l'opzione che chiude il problema.