Eine Schwachstelle in Claude Cowork von Anthropic ermöglicht es dem KI-Agenten, aus seiner virtuellen Umgebung auszubrechen und auf sensible Dateien auf einem Mac zuzugreifen. Das legt deutliche Lücken im Sandboxing des Werkzeugs offen.
„SharedRoot“-Angriff: Ausbruch aus der virtuellen Maschine
Forschende von Accomplish AI erklärten am 23. Juli, dass eine lokal laufende Cowork-Sitzung eine Schwachstelle im Linux-Kernel ausnutzen und Root-Rechte innerhalb der virtuellen Maschine erlangen kann. Sobald die Sitzung diese Root-Rechte besitzt, kann der Agent über ein beschreibbares Laufwerk auf das Dateisystem des Macs zugreifen.
Die Forschenden tauften den Angriff „SharedRoot“. In ihrer Demonstration verbanden sie einen Ordner mit einer neuen Cowork-Sitzung und gaben Claude nur eine Anweisung. Der Agent las und schrieb anschließend Dateien außerhalb des freigegebenen Ordners, ohne dass eine weitere Berechtigungsabfrage erschien.
Nach Angaben von Accomplish AI umfassten die erreichbaren Dateien unter anderem SSH-Privatschlüssel, Zugangsdaten für Cloud-Dienste, Browserdaten sowie andere Informationen, auf die die aktuell eingeloggte Person am Mac zugreifen konnte. Hinweise darauf, dass SharedRoot außerhalb der kontrollierten Tests bereits gegen Cowork-Benutzer:innen eingesetzt wurde, liegen den Forschenden nicht vor.
Das eingebundene Laufwerk umfasste das vollständige Dateisystem des Macs, was jedoch nicht automatisch Zugriff auf alle Dateien bedeutete. Der tatsächliche Zugriff hing weiterhin von den Rechten der angemeldeten Benutzer:innen und den Schutzmechanismen von macOS ab, einschließlich Sicherungen für bestimmte System- und private Daten.
Anthropic hatte bereits am 7. Juli die Ausführung in der Cloud als Standard für Cowork-Sitzungen eingeführt, als das Unternehmen Cowork auf Web und Mobilgeräte ausweitete. Desktop-Benutzer:innen konnten sich jedoch weiterhin für lokale Verarbeitung entscheiden, sodass SharedRoot für diese Sitzungen relevant blieb.
Linux-Schwachstelle öffnet den Weg zum Host-Dateisystem
Im lokalen Ausführungsmodus läuft der Agent in einer Linux-virtuellen Maschine als nicht privilegierte:r Benutzer:in. Ein separater Dienst namens „coworkd“ läuft mit Root-Rechten und verwaltet die Dateien, die mit der Sitzung geteilt werden.
Accomplish AI fand heraus, dass die virtuelle Maschine zudem ein VirtioFS-Laufwerk mit Lese- und Schreibrechten auf das Mac-Dateisystem eingebunden hatte. Eine gewöhnliche Cowork-Sitzung konnte dieses Laufwerk nicht nutzen, doch Root-Rechte in der virtuellen Maschine öffneten dem Agenten den Zugriff.
SharedRoot nutzte CVE-2026-46331 aus, eine Schwachstelle im Paketbearbeitungscode der Verkehrssteuerung des Linux-Kernels. Fehlerhafte Copy-on-Write-Verarbeitung konnte den Seiten-Cache-Speicher beschädigen und einer lokalen Benutzer:in erlauben, geschützte Dateien zu verändern.
Die Forschenden nutzten diese Speicherbeschädigung, um eine Datei zu ersetzen, die der Root-Dienst „coworkd“ später ausführte. Da coworkd bereits mit Root-Rechten lief, verschaffte die veränderte Datei der Cowork-Sitzung Root-Rechte im Gastbetriebssystem.
SharedRoot hebelte nicht Apples Virtualisierungssystem aus. Stattdessen nutzte der Agent mit Root-Rechten ein Dateisystem-Laufwerk, das Cowork für vertrauenswürdige Prozesse in der virtuellen Maschine eingebunden hatte.
Die Linux-Sicherheitslücke ist nur ein Teil des Angriffs. Accomplish AI weist darauf hin, dass jeder andere Weg zu Root-Rechten im Gastbetriebssystem den Mac erneut gefährden könnte, solange Cowork weiterhin das vollständige Host-Dateisystem mit Lese- und Schreibrechten in der virtuellen Maschine einbindet.
Cloud-Ausführung reduziert Risiko, ersetzt aber keine Vorsicht
Anthropics Update vom 7. Juli machte die entfernte Ausführung zum Standard für Cowork. Sitzungen können seitdem auf den Servern des Unternehmens weiterlaufen, während der eigene Computer offline ist. Desktop-Funktionen, die lokale Dateien oder Anwendungen benötigen, können weiterhin den jeweiligen Mac nutzen.
Die Cloud-Ausführung verhindert SharedRoot, weil Claude nicht mehr in der lokalen virtuellen Maschine läuft, die das Mac-Dateisystem exponiert. Sie beseitigt jedoch nicht die Risiken, die entstehen, wenn ein Agent Zugriff auf sensible Dateien, Konten oder Dienste erhält.
Accomplish AI meldete SharedRoot an Anthropic, das die Meldung mit dem Status „Informativ“ abschloss. Eine öffentliche Erklärung zu dieser Entscheidung liegt bisher nicht vor.
Die Forschenden empfehlen, nur explizit genehmigte Ordner einzubinden und diese Freigaben nach Möglichkeit schreibgeschützt zu mounten. Außerdem fordern sie stärkere Schutzmechanismen rund um den privilegierten Dienst sowie Linux-Funktionen, die Angreifenden Root-Rechte verschaffen könnten.
Um euch vor SharedRoot zu schützen, solltet ihr möglichst die standardmäßige Cloud-Ausführung von Cowork statt lokaler Verarbeitung nutzen. Gebt Claude nur Zugriff auf Ordner, die für eine Aufgabe wirklich nötig sind, und vermeidet Verzeichnisse mit SSH-Schlüsseln, Cloud-Zugangsdaten, Browserdaten oder anderen sensiblen Dateien.
Wer lokale Cowork-Sitzungen mit nicht vertrauenswürdigen Dateien ausgeführt hat, sollte in Betracht ziehen, Zugangsdaten zu ändern, auf die der Agent hätte zugreifen können. Grundsätzlich solltet ihr vorsichtig sein, wenn ihr KI-Agenten Befehle oder Datei-Zugriffe erlaubt, die das gesamte System beeinflussen könnten.
