SharedRoot: Forscher brechen aus der Sandbox von Claude Cowork aus
KI-generiert mit ChatGPT
Forscher von Accomplish AI haben eine Angriffskette demonstriert, mit der Claude Cowork aus seiner eigenen Linux-Sandbox ausbrechen kann. Anschließend erhält der Agent Zugriff auf alles, worauf auch das angemeldete Benutzerkonto des Macs zugreifen kann. Der am 23. Juli 2026 veröffentlichte Bericht trägt den Namen SharedRoot.
Wie SharedRoot an das Dateisystem des Mac kommt
Gezeichnet ist der Bericht von Oren Yomtov, leitender Sicherheitsforscher bei Accomplish AI. Claude Cowork führt Aufgaben in einer Linux-VM aus, die über das Virtualization Framework von Apple startet. Jede Sitzung erhält einen eigenen Nutzer ohne Sonderrechte. Ein Detail unterläuft diese Trennung. Das vollständige Dateisystem des Macs wird mit Schreibrechten in die VM eingebunden und ist dort ausschließlich für den Root-Nutzer des Gastsystems sichtbar.
Die Kette beginnt mit einem User-Namespace, den der Sitzungsnutzer selbst anlegen darf. Darüber erreicht der Agent das Kernel-Modul act_pedit und die unter der Kennnummer CVE-2026-46331 geführte Schwachstelle. Am Ende erlangt der Agent Root-Rechte im Gastsystem. Damit kann er sämtliche Dateien des angemeldeten Mac-Benutzers öffnen und verändern. Damit liegen auch SSH-Schlüssel und Cloud-Zugangsdaten offen.
Für Accomplish AI ist die Kernel-Lücke der austauschbare Teil. Vier andere Schutzschichten hätten die Angriffskette jeweils für sich stoppen können.
- Der Gast dürfte keine eigenen User-Namespaces anlegen.
- Der seccomp-Filter sollte als Erlaubnisliste arbeiten, nicht als Sperrliste.
- Nicht benötigte Kernel-Module dürften sich nicht nachladen lassen.
- In die VM gehören nur die Ordner, die der Nutzer selbst freigibt.
Warum KI-Agenten ein anderes Sicherheitsmodell benötigen als klassische Software, haben wir ausführlich beschrieben.
AnzeigeWas Accomplish AI zur Reaktion von Anthropic berichtet
Nach Angaben von Accomplish AI hat Anthropic die Meldung als „Informative” geschlossen, also als Hinweis ohne eigenen Schwachstellenstatus. Die Kernel-Schwachstelle fiel demnach in das 30-Tage-Fenster für neue Funde. Gegenüber The Hacker News beziffert Accomplish AI die Zahl betroffener lokaler Sitzungen auf rund 500.000. Die aktuelle Version von Claude Cowork arbeitet standardmäßig in der Cloud. Für diesen Weg greift der beschriebene Ausbruch nach Angaben der Forscher offenbar nicht. Nach Darstellung von The Hacker News bleibt angreifbar, wer den Agenten bewusst lokal betreibt.
Accomplish AI vertreibt selbst eine konkurrierende Plattform für Agenten auf Endgeräten. Dieses Eigeninteresse muss bei der Einordnung berücksichtigt werden.
Einen direkt vergleichbaren Fall beschreibt der Ausbruch von Snowflake Cortex aus der eigenen Sandbox. Welche Grenzen Anthropic den eigenen Agenten zieht, haben wir am 7. Juli 2026 untersucht.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
