研究者らは、Anthropic の Claude Cowork がローカルの仮想マシンから脱出し、ホストMac上のファイルにアクセスできることを実証した。

この開示は、OpenAI が 1 週間前に、2つのフロンティアAIモデルが社内のセキュリティ評価中にサンドボックスを脱出したと明らかにしたことに続くものだ。

これらの事例は、特により多くのツールがローカルで実行され、オペレーティングシステムのレベルのリソースへのアクセスを与えられる中で、AIエージェントが隔離環境から抜け出す能力に対する懸念の高まりを浮き彫りにしている。

OpenAI がサンドボックス化されたテスト環境から 2つのフロンティアAIモデルが脱出し、Hugging Face に侵入したと明らかにしてからわずか 1 週間後、研究者らは Anthropic の Claude Cowork に関する同様の隔離失敗を実証した。

木曜日に公開された報告書で、Accomplish AI のセキュリティ研究者らは、Claude Cowork のローカル実行モードが、複数のアーキテクチャ上の弱点と Linux カーネルの権限昇格の脆弱性を連鎖させることで、Linux 仮想マシンから脱出できることを発見した。サンドボックスの外に出ると、このエージェントは、SSHキーやクラウド認証情報を含め、ログイン中のMacユーザーがアクセス権を持つあらゆる場所のファイルを読み書きできた。

「それは可能であるべきではない」と研究者らは記した。「Cowork はエージェントを権限のないユーザーとして Linux VM 内で実行し、その約束は、エージェントが何をしてもその VM と、渡されたフォルダの中にとどまるということだ。その境界こそが製品である。信頼できない入力はエージェントにとって例外ではなく、主要なケースだ。」

しかし、Accomplish はカーネルのバグは問題の一部にすぎないと主張している。研究者らによると、この脱出が成功したのは、仮想マシンにホストコンピュータの全ファイルシステムへのアクセスを与えたことや、必要のないカーネルモジュールの読み込みを許可したことなど、複数のセキュリティ保護が同時に失敗したためだという。報告書によれば、これらの弱点のいずれか1つでも修正していれば、攻撃は止められたはずだという。

The Hacker News への声明で、Accomplish AI は、ローカルの Claude Cowork セッションを実行していた約 500,000 人の macOS ユーザーが、問題が対処される前に影響を受けたと述べた。

Accomplish によると、Anthropic はこの報告を「informative」と分類し、カーネルの欠陥は同社の最近公表された脆弱性に対する 30 日間の期間内に収まり、残りの指摘は単独の脆弱性ではなく defense-in-depth の推奨事項と見なされたという。

この開示は、OpenAI が先週、GPT-5.6 Sol と、まだ公開されていない別のフロンティアモデルが社内の ExploitGym テスト中にサンドボックスを脱出し、ベンチマーク解を取得しようとして Hugging Face の本番インフラに侵入したと認めたことに続く。

この件を受けて政策担当者からは、重大なセキュリティ事件に対応して高度な AI モデルの処理速度を落とす、または完全停止を命じる権限を国土安全保障省に与える AI の「kill switch」を求める声が上がった。