Lücke: Claude Cowork entkommt macOS-Sandbox

vor 1 Tag 3

Das KI-Sicherheitsunternehmen Accomplish AI hat eine problematische Lücke im KI-Assistenten Claude Cowork für macOS entdeckt. Damit ist es Angreifern möglich, über eigentlich nicht vertrauenswürdige Inhalte die virtuelle Maschine, die Cowork eigentlich verwendet, zu verlassen, um dann überall auf dem Mac Schreibrechte zu bekommen. Der Sandbox-Exploit sei durch Anthropics Designentscheidungen möglich, die interessanter seien als ein von den Sicherheitsforschern entdeckter Kernel-Bug, schreiben sie.

Trick mit Linux-Subsystem

Der Fehler, der auf den Namen SharedRoot getauft wurde, setzt sich auch über Limits hinweg, die der Nutzer gesetzt hat, etwa vorher festgelegte Ordner, die Claude Cowork beschreiben darf. Neben dem Schreibvorgang sei es auch möglich, aus der VM heraus Dateien zu lesen – etwa SSH-Schlüssel und Cloud-Zugänge. Angreifern stünden alle Inhalte zur Verfügung, die der verwendete User-Account nutzen könne. Accomplish.ai lobte zunächst den Ansatz von Claude. Es handele sich um eine „echte VM“, der Nutzer der jeweiligen Session habe kaum Rechte, es gebe einen Seccomp-Filter und eine Brokered-Mount-Schicht.

Hauptproblem ist demnach, dass das Host-Dateisystem mit der VM im Read-Write-Modus geteilt wird. Mithilfe eines nachgeladenen Linux-Subsystems, in dem eine ungepatchte Lücke steckt, ließ sich ein Guest-Root-Zugang herstellen. Der wiederum greift dann auf das echte Mac-Dateisystem zu.

Bis zu 500.000 Nutzer betroffen

Accomplish.ai schätzt, dass von dem Problem bis zu 500.000 macOS-Nutzer betroffen gewesen sein könnten. Es wurde allerdings nur indirekt behoben: Anthropic teilte mit, die Lücke sei zwar „informativ“, doch interne Änderungen machten sie nicht mehr ausnutzbar. Denn Claude Cowork bedient sich jetzt nicht mehr der Ausführung einer lokalen VM, sondern nutzt die sogenannte Cloud-Execution.

Damit ist der Sandbox-Escape nicht mehr nutzbar. Allerdings ist es immer noch möglich, den KI-Agenten lokal laufen zu lassen. Dies sollte man bis zu einem möglichen Fix unterlassen, außer man härtet seine eigene Konfiguration. Claude Cowork wird für diverse Zielgruppen außerhalb des Coding-Spektrums vermarktet, darunter Anwälte, Marketingleute oder Geschäftsentwickler.