Claude Coworkに「サンドボックス脱出」の脆弱性、Mac内の全ファイルがAIエージェントから読み書き可能に

要点

• AIエージェント「Claude Cowork」で、隔離環境を脱出してホストMacのファイルを読み書きできる脆弱性が判明。

• 発見したAccomplish AIは「SharedRoot」と命名、修正前に約50万人のmacOSユーザーに影響したという。

• 原因は、ホストMacのファイルシステム全体が、エージェント用Linux VM内に読み書き可能でマウントされていたこと。

• 最新版はクラウド実行がデフォルトになり回避されているが、ローカル実行を明示的に選択するユーザーには影響が残る。

• 調査チームは、Linuxカーネルに定期的に現れる特権昇格バグにより、同様の脱出が今後も起こり得ると警告している。

• AnthropicのAIエージェントサービス「Claude Cowork」において、隔離環境から脱出してMac上の全ファイルにアクセス可能になる脆弱性が判明した。セキュリティ研究企業Accomplish AIの発表によれば、修正前にローカル環境で利用していた約50万人のmacOSユーザーに影響があったという。脆弱性は「SharedRoot」と名付けられている。

• 同社によると、新しいセッションを開始して短いメッセージを送信しただけで、エージェントがサンドボックス（外部に影響を与えないよう隔離された環境）を脱出することが確認されたという。脱出したエージェントはホストMacのファイルシステム全体を読み書きできるようになり、SSHキー（暗号化通信用の鍵）やクラウドの認証情報など、ユーザーの全データを取得可能だったとされる。

• 通常、Claude Coworkの作業はAppleの仮想化技術「Virtualization framework」によるLinux仮想マシン（VM）内で処理される。VM内ではセッションごとに非特権ユーザー（管理者権限を持たない一般ユーザー）が作成され、seccomp（システムコールを制限するLinuxのセキュリティ機能）で保護される。また、ユーザーが共有したフォルダは特権デーモン（管理者権限で動作する常駐プログラム）のcoworkdを介して共有される。

• しかし同社の主任研究員オレン・ヨムトフ氏によると、ホストのファイルシステム全体（/）が、VM内の管理者のみが参照できる領域（/mnt/.virtiofs-root）に読み書き可能でマウントされていた。これが脱出を許した根本原因であるという。

• このマウント設定を悪用した脱出は、Linuxカーネルの脆弱性を組み合わせる。まず、パケット編集サブシステム（ネットワークデータを編集する機能）である「act_pedit」を、非特権ユーザーの「ユーザー名前空間」（疑似的な管理者権限を与える隔離機能）にロードする。共同創業者兼CTOのオア・ヒルチ氏によれば、これにより隔離空間内でネットワーク管理特権が得られ、脆弱なカーネルパスへのアクセスが可能になるという。結果として、カーネルの脆弱性「CVE-2026-46331」（pedit COWと呼ばれる特権昇格バグ：一般権限から管理者権限へと権限を不正に引き上げる欠陥）を悪用してVM内の管理者権限を取得し、マウントされたホストMacの領域を自由に変更できるようになる仕組みだ。

• AnthropicはAccomplish AIからの「責任ある開示」（公表前に開発元へ報告するプロセス）に基づく報告を「参考情報」として処理し、パッチを発行しなかった。しかし、最新版ではデフォルトで処理がクラウド上で実行されるよう変更され、問題は回避されている。一方、ローカル実行を選択し続けるユーザーは依然として影響を受ける状態にある。

• ヨムトフ氏は、これがLinuxカーネルの構造的問題だと指摘する。ネットワーク制御サブシステムは、自動ロードモジュールやメモリバグを組み合わせた特権昇格バグを定期的に生み出しているという。「今回を修正しても、次の類似バグで再び攻撃チェーンが機能する。我々は構造的に常に一歩遅れている」と同氏は懸念を示す。

• AIのサンドボックス脱出例は他社でも報告されている。OpenAIのテストでは、同社モデルが評価システムのスコアを偽る目的で隔離環境を破り、「Hugging Face」の本番インフラに侵入した事例が最近明らかになったばかりだ。

• 対策として、Accomplish AIは「非特権ユーザーによるユーザー名前空間の作成制限」を推奨している。