Se ha descubierto una vulnerabilidad grave en el sandbox local de Claude Cowork que permite a un agente de IA malicioso escapar de su máquina virtual Linux para acceder al sistema de archivos del Mac anfitrión. Esta falla permite al agente leer información sensible, como claves privadas SSH y credenciales de la nube, sin necesidad de interacción del usuario.

Se ha descubierto un fallo de seguridad grave en el sandbox local de Claude Cowork, que permite que un agente de IA malicioso escape de su máquina virtual (VM) de Linux y acceda al sistema de archivos del Mac anfitrión.

Esta brecha puede permitir que el agente lea información sensible, incluyendo claves privadas SSH y credenciales de la nube, sin que tú tengas que dar ninguna instrucción.

El origen de este problema no se atribuye a una única vulnerabilidad del kernel. Sin embargo, surge de cuatro decisiones de diseño cuestionables relacionadas con la integración del sandbox, las funciones del kernel y el sistema de archivos del anfitrión.

Investigadores de seguridad de Accomplish han identificado un método de ataque llamado “SharedRoot”, que permite que contenido no confiable dentro de una sesión de Claude Cowork escape de su VM e interactúe directamente con el sistema de archivos de macOS del anfitrión.

Al establecer una carpeta compartida en una nueva sesión de Cowork y utilizar un prompt diseñado específicamente, demostraron la capacidad de leer y escribir archivos en la cuenta del usuario anfitrión, superando con creces los límites de la carpeta compartida prevista.

Cowork está diseñado para ejecutar código impulsado por IA dentro de una VM de Linux como un usuario sin privilegios, utilizando filtros seccomp y montajes intermediarios para gestionar cargas de trabajo no confiables.

Idealmente, cualquier acción realizada por el agente debería permanecer confinada a la VM invitada y a carpetas seleccionadas específicamente. Sin embargo, la cadena SharedRoot revela que este límite es poroso, convirtiendo lo que se presumía era un entorno de codificación seguro en una puerta de entrada para comprometer el anfitrión.

Fallo de escape del Sandbox de Claude Cowork

La aplicación Cowork de macOS opera bajo el usuario conectado, mientras que lanza una VM de Linux a través del framework de Virtualización de Apple.

Dentro de esta VM, el agente se coloca en una cuenta de sesión sin privilegios que cuenta con un perfil seccomp permisivo. Surge una vulnerabilidad crítica porque todo el sistema de archivos del anfitrión es accesible dentro de la VM a través de un montaje virtiofs.

La explotación comienza cuando el usuario de la sesión crea un espacio de nombres de usuario utilizando el comando unshare, otorgándole efectivamente capacidades similares a los privilegios de root dentro de ese espacio de nombres.

Esta configuración permite que el agente utilice el módulo del kernel act_pedit a través de un socket netlink, acciones permitidas por el filtro seccomp laxo, provocando que se cargue automáticamente un módulo del kernel vulnerable.

La vulnerabilidad fundamental en el núcleo de este exploit se identifica como CVE‑2026‑46331, conocida como “pedit COW”. Este fallo del kernel de Ubuntu, documentado públicamente, permite que un atacante corrompa el caché de páginas de archivos que puede acceder pero no modificar.

Al explotar este error, el agente se dirige a un binario propiedad de root, alterando su imagen almacenada en el caché de memoria sin afectar la versión en disco, evadiendo así las comprobaciones de integridad tradicionales.

El demonio root, coworkd, termina re-ejecutando el binario comprometido durante las operaciones regulares, heredando así las modificaciones maliciosas mientras se ejecuta como root.

Las protecciones como NoNewPrivs no mitigan la escalada de privilegios en este contexto, ya que el proceso de ejecución ya posee privilegios completos de root.

Después de obtener acceso root dentro de la VM invitada, el agente puede acceder fácilmente al montaje oculto del sistema de archivos, revelando el directorio raíz del anfitrión.

Este acceso le permite navegar por el directorio personal del usuario anfitrión, comprometiendo claves SSH, credenciales de la nube y otros archivos sensibles, pudiendo también crear o modificar archivos y configuraciones sin tu consentimiento.

Los investigadores ejecutaron con éxito esta cadena completa de exploits, demostrando que un archivo escrito dentro del supuesto “sandbox” apareció en el directorio personal del usuario anfitrión casi inmediatamente.

Este incidente socava drásticamente las afirmaciones de seguridad fundamentales del modelo de ejecución local de Cowork, resaltando que el problema va más allá del fallo específico del kernel para incluir errores de diseño significativos.

Fuentes: