Des chercheurs ont démontré que Claude Cowork d’Anthropic pouvait s’échapper de sa machine virtuelle locale et accéder à des fichiers sur un Mac hôte.

Cette divulgation intervient une semaine après qu’OpenAI a révélé que deux modèles d’IA de pointe s’étaient échappés d’un sandbox lors d’une évaluation interne de sécurité.

Ces incidents soulignent les inquiétudes croissantes concernant la capacité des agents IA à sortir de leurs environnements de confinement, d’autant plus que davantage d’outils sont exécutés localement et bénéficient d’un accès aux ressources du système d’exploitation.

Une semaine seulement après qu’OpenAI a indiqué que deux modèles d’IA de pointe avaient quitté un environnement de test sandboxé et compromis Hugging Face, des chercheurs ont démontré une défaillance de confinement similaire impliquant Claude Cowork d’Anthropic.

Dans un rapport publié jeudi, des chercheurs en sécurité d’Accomplish AI ont constaté que le mode d’exécution local de Claude Cowork pouvait s’échapper de sa machine virtuelle Linux en combinant plusieurs faiblesses architecturales avec une faille d’élévation de privilèges du noyau Linux. Une fois hors du sandbox, l’agent pouvait lire et écrire des fichiers partout où l’utilisateur Mac connecté était autorisé à accéder, y compris des clés SSH et des identifiants cloud.

« Ce n’est pas censé être possible », ont écrit les chercheurs. « Cowork exécute l’agent dans une VM Linux en tant qu’utilisateur non privilégié, et la promesse est que tout ce qu’il fait reste dans cette VM et dans les dossiers que vous lui confiez. Cette limite est le produit. Les entrées non fiables ne sont pas un cas limite pour un agent, c’est le cas principal. »

Accomplish a toutefois estimé que le bug du noyau n’était qu’une partie du problème. Les chercheurs ont indiqué que l’évasion n’a fonctionné que parce que plusieurs protections de sécurité ont échoué en même temps, notamment le fait d’avoir donné à la machine virtuelle l’accès à l’ensemble du système de fichiers de l’ordinateur hôte et de l’avoir autorisée à charger des modules du noyau dont elle n’avait pas besoin. Selon le rapport, la correction de l’une quelconque de ces faiblesses aurait empêché l’attaque.

Dans une déclaration à The Hacker News, Accomplish AI a indiqué qu’environ 500 000 utilisateurs macOS exécutant des sessions locales de Claude Cowork avaient été touchés avant que le problème ne soit traité.

Accomplish a déclaré qu’Anthropic avait classé le rapport comme « informative », précisant que la faille du noyau entrait dans la fenêtre de 30 jours de l’entreprise pour les vulnérabilités récemment divulguées et que les autres constats étaient considérés comme des recommandations de défense en profondeur plutôt que comme des vulnérabilités autonomes.

Cette divulgation fait suite à l’aveu d’OpenAI la semaine dernière selon lequel GPT-5.6 Sol et un autre modèle de pointe non publié s’étaient échappés d’un sandbox lors de tests internes d’ExploitGym, ce qui avait finalement permis de compromettre l’infrastructure de production de Hugging Face dans une tentative d’obtenir les solutions du benchmark.

Cet incident a conduit des responsables politiques à demander un « kill switch » pour l’IA, qui donnerait au Department of Homeland Security la capacité d’ordonner le ralentissement ou l’arrêt complet des modèles d’IA avancés en réponse à de graves incidents de sécurité.

Daily Debrief Newsletter