Macのファイルが丸見え!? Claude Coworkにサンドボックス脱出の脆弱性

　Accomplishは7月23日、Claude CoworkがLinux仮想マシン(VM)のサンドボックスから抜け出し、macOS上の任意のファイルを読み書きできるようになる脆弱性「SharedRoot」を公表した。

　Claude Coworkは、ローカル上のファイルやフォルダにアクセスして処理を行なうAIエージェントアプリ。仕組み上、安全性を確保するため、macOS版ではユーザーと対面するデスクトップアプリと、Linux VM内で実際に処理を実行するエージェントの組み合わせで構成されている。VM内ではセッションごとに非特権のユーザーを割り当て、seccompで制限するなどして、サンドボックス環境を実現している。

　ところが、VM内のルートユーザーに対して「/mnt/.virtiofs-root」がマウントされ、ホストのファイルシステム全体にアクセスできる仕様になっている。この仕様と既知の脆弱性「CVE-2026-46331」などを併用することで、macOS上でユーザーがアクセスできるすべてのファイルをVM内から読み書きできるようになるという。

　なお、Claude Coworkはデフォルトでクラウド上で実行される仕様となっており、このケースでは今回の手法は適用されないとしている。同社はAnthropicに対し事前に脆弱性の報告を行なったが、Anthropicは単独の脆弱性ではなく多層防御の一環であるなどとして、Informative(参考情報)でクローズしたという。