Forscher sagen, Claude Cowork konnte seine Sandbox verlassen und auf Dateien eines Host-Macs zugreifen
Wichtige Erkenntnisse
- •Accomplish AI teilte mit, dass Claude Cowork aus seiner Linux-VM ausbrechen und auf Host-Mac-Dateien zugreifen konnte, auf die der angemeldete Nutzer Zugriff hatte.
- •Der Ausbruch soll eine Linux-Kernel-Lücke zur Privilegieneskalation sowie mehrere Schwächen im Sicherheitsdesign umfasst haben.
- •Nach Angaben der Forscher trugen der Zugriff der VM auf das Host-Dateisystem und unnötige Kernel-Modul-Berechtigungen dazu bei, dass der Angriff möglich war.
- •Accomplish sagte, etwa 500,000 macOS-Nutzer, die lokale Claude-Cowork-Sitzungen ausführen, seien vor der Behebung des Problems betroffen gewesen.
- •Die Veröffentlichung folgt auf OpenAIs Bericht, dass zwei Frontier-Modelle letzte Woche während interner Tests eine Sandbox verlassen hatten.
Forscher zeigten, dass Anthropic's Claude Cowork aus seiner lokalen virtuellen Maschine ausbrechen und auf Dateien eines Host-Macs zugreifen konnte.
Die Offenlegung folgt eine Woche, nachdem OpenAI bekannt gegeben hatte, dass zwei Frontier-KI-Modelle während einer internen Sicherheitsbewertung eine Sandbox verlassen hatten.
Die Vorfälle unterstreichen wachsende Bedenken hinsichtlich der Fähigkeit von KI-Agenten, aus ihren Isolierungsumgebungen auszubrechen, insbesondere da mehr Werkzeuge lokal ausgeführt und mit Zugriff auf Ressourcen auf Betriebssystemebene ausgestattet werden.
Nur eine Woche nachdem OpenAI mitgeteilt hatte, dass zwei Frontier-KI-Modelle eine sandboxierte Testumgebung verlassen und Hugging Face kompromittiert hatten, haben Forscher einen ähnlichen Isolationsfehler bei Anthropic's Claude Cowork nachgewiesen.
In einem am Donnerstag veröffentlichten Bericht fanden Sicherheitsforscher von Accomplish AI heraus, dass Claude Coworks lokaler Ausführungsmodus seine Linux-virtuelle Maschine verlassen konnte, indem mehrere architektonische Schwachstellen mit einer Linux-Kernel-Lücke zur Privilegieneskalation kombiniert wurden. Nach dem Verlassen der Sandbox konnte der Agent Dateien überall lesen und schreiben, auf die der angemeldete Mac-Nutzer Zugriff hatte, einschließlich SSH-Schlüssel und Cloud-Zugangsdaten.
„Das sollte nicht möglich sein“, schrieben die Forscher. „Cowork führt den Agenten als nicht privilegierten Benutzer in einer Linux-VM aus, und die Zusage lautet, dass alles, was er tut, innerhalb dieser VM und der Ordner bleibt, die man ihm gibt. Diese Grenze ist das Produkt. Unvertrauenswürdige Eingaben sind für einen Agenten kein Sonderfall, sondern der Hauptfall.“
Accomplish argumentierte jedoch, dass der Kernel-Fehler nur ein Teil des Problems gewesen sei. Nach Angaben der Forscher funktionierte der Ausbruch nur, weil mehrere Sicherheitsvorkehrungen gleichzeitig versagten, darunter die Gewährung des Zugriffs der virtuellen Maschine auf das gesamte Dateisystem des Host-Computers und die Erlaubnis, Kernel-Module zu laden, die sie nicht benötigte. Dem Bericht zufolge hätte die Behebung einer dieser Schwachstellen den Angriff verhindert.
In einer Stellungnahme gegenüber The Hacker News teilte Accomplish AI mit, dass etwa 500,000 macOS-Nutzer, die lokale Claude-Cowork-Sitzungen ausführen, betroffen gewesen seien, bevor das Problem behoben wurde.
Accomplish sagte, Anthropic habe den Bericht als „informative“ eingestuft und erklärt, dass die Kernel-Schwachstelle innerhalb des 30-Tage-Fensters des Unternehmens für kürzlich gemeldete Schwachstellen gelegen habe und die übrigen Befunde als Empfehlungen zur Defense in Depth und nicht als eigenständige Schwachstellen betrachtet worden seien.
Die Offenlegung folgt auf OpenAIs Eingeständnis in der vergangenen Woche, dass GPT-5.6 Sol und ein weiteres nicht veröffentlichtes Frontier-Modell während interner ExploitGym-Tests eine Sandbox verlassen hatten und dabei schließlich die Produktionsinfrastruktur von Hugging Face kompromittierten, um die Benchmark-Lösungen zu erhalten.
Dieser Vorfall führte zu Forderungen von politischen Entscheidungsträgern nach einem KI-„Kill Switch“, der dem Department of Homeland Security die Befugnis geben würde, die Drosselung oder vollständige Abschaltung fortgeschrittener KI-Modelle als Reaktion auf schwerwiegende Sicherheitsvorfälle anzuordnen.