The Hacker Newsは7月23日(現地時間)、「Claude Cowork Flaw Could Let AI Agent Escape Its VM and Access Mac Files」において、AnthropicのAIエージェントツール「Claude Cowork」がサンドボックスを脱出してファイルを操作する可能性があると報じた。

これはAI関連企業「Accomplish」の調査レポートで明らかになった。簡単なプロンプトでエージェントがサンドボックスから脱出し、許可した範囲を超えるファイルの操作を実行したという。

  • AnthropicのAIエージェント「Claude Cowork」に、サンドボックスを脱出してホスト環境へアクセスできる可能性が報告された。画像はClaude Coworkの画面　引用：Accomplish

    AnthropicのAIエージェント「Claude Cowork」に、サンドボックスを脱出してホスト環境へアクセスできる可能性が報告された。画像はClaude Coworkの画面　引用：Accomplish

サンドボックスを突破する仕組み

Claude Cowork(以下、Cowork)は特権を持たないユーザー権限のLinux VM内でエージェントを実行する。そのため、どのような命令を指示したとしても、VM環境および提供したディレクトリを超えて動作することはできない。

しかしながらAccomplishによると、Coworkには1つ落とし穴があるという。ホストのファイルシステム全体をVM環境内の「/mnt/.virtiofs-root」にマウントし、rootにアクセス権を与えており、権限昇格によってリスクが顕在化するとの指摘だ。

通常であればユーザー権限で動作するエージェントが、root権限を必要とするこのディレクトリにアクセスすることはできない。ところが次の手順を踏むことで、権限を昇格して制限を突破できることが明らかになった。

  1. Linuxコマンドの「unshare」を呼び出して、新しいユーザー名前空間のプロセスを作成する。Accomplishによると、この名前空間はroot権限を獲得するが、親プロセスが特権のないユーザー名前空間にあるため、この時点で問題はないという
  2. CAP_NET_ADMINを取得し、カーネルモジュール「act_pedit」をロードさせる
  3. Linuxの既知のセキュリティ脆弱性「CVE-2026-46331」を悪用し、エージェントをrootに昇格させる
  4. その後のLinuxコマンドの実行はroot権限で行われ、「/mnt/.virtiofs-root」にアクセスできる

Accomplishはこの手法を「SharedRoot」と名付けた。なお、CVE-2026-46331を悪用する特権昇格のエクスプロイトは「GitHub - sgkdev/packet_edit_meme: PACKET_EDIT_MEME.c (aka CVE-2026-46331): yet another page cache poisoning nightmare · GitHub」にて公開されている。

影響はmacOS限定、Anthropicは参考情報として扱う

影響を受けるプラットフォームはmacOSのみとされる。これはAppleの仮想化フレームワークを介して起動されるLinux VMが必要なためとみられる。

研究者は、Coworkセッションへのディレクトリの接続および1回の短いプロンプトでサンドボックスの脱出に成功したと報告。その後はホスト環境への完全なアクセスが許可され、SSHキーや認証情報など、機密情報への制限のないアクセスができたとしている。

本件は研究者によりAnthropicに報告されたが、「参考情報」としてクローズされた。これはSharedRootがLinuxの脆弱性「CVE-2026-46331」に依存しているためで、Coworkの脆弱性ではないこと、そしてLinuxの修正を取り込むことで解決することが理由とされる。

しかしながら、Coworkの安全性はLinuxに依存した状態と言える。The Hacker Newsは、Linux側の修正だけでなく、ユーザー名前空間の無効化やカーネルモジュールの自動ロード停止など、Cowork側でも防御策を講じることが望ましいと指摘している。