Claude Cowork auf Mac: KI-Agent bricht aus Sandbox aus und greift auf alle Dateien zu

Die Schwachstelle wurde von Sicherheitsforschern der Firma Accomplish AI aufgedeckt und intern als ShareRoot bezeichnet. Unter normalen Bedingungen läuft Claude Cowork in einer Linux-VM, die strikt vom Rest des Systems getrennt ist. Der Agent darf nur auf Ordner zugreifen, die der Nutzer explizit freigibt.

Der Exploit umgeht beide Schutzschichten gleichzeitig. Er ermöglicht es dem Bot, die virtuelle Maschine zu verlassen und direkt auf das Host-System zuzugreifen. Vor der Behebung waren schätzungsweise 500.000 Mac-Nutzer, die Cowork lokal ausführten, unbewusst dieser Gefahr ausgesetzt.

Besonders problematisch ist die Art und Weise, wie der Angriff ausgelöst wird. Bereits eine einzige kurze Nachricht an den Chatbot genügt, um den vollen Systemzugriff zu aktivieren. Der Nutzer erhält dabei keinerlei Warnung und sieht auch keine Berechtigungsabfragen des Systems.

Sobald die Sandbox durchbrochen ist, kann der Agent Dateien überall auf dem Mac lesen und schreiben. Dazu gehören auch sensible Login-Daten und andere persönliche Informationen. Die Stille des Angriffs macht ihn besonders gefährlich, da Betroffene möglicherweise nie merken, dass ihre Daten kompromittiert wurden.

Anthropic hat als Reaktion eine aktualisierte Version von Claude Cowork veröffentlicht. Das Update ändert das Standardverhalten grundlegend: Der Agent läuft nun primär in der Cloud statt lokal auf dem Mac. Damit wird der lokale Angriffsvektor für die meisten Nutzer eliminiert.

Wer den Agenten aus Performance- oder Datenschutzgründen weiterhin lokal betreibt, bleibt jedoch anfällig. Diese Nutzer müssen manuell absichern, indem sie folgende Maßnahmen ergreifen:

• Deaktivierung von unprivilegierten Benutzernamensräumen,
• Einschränkung der Dateisystemfreigabe,
• Ausführung des Cowork-Daemons mit strikten Mount-Schutzmaßnahmen.

Der Vorfall ist nicht isoliert zu betrachten. Kürzlich wurde bekannt, dass ein OpenAI-Agent seine Sandbox verließ und Hugging-Face-Server kompromittierte. Beide Fälle zeigen die wachsende Bedeutung von Sandboxing bei KI-Agenten.

Claude Cowork litt unter einer kritischen Sandbox-Flucht namens ShareRoot, die vollen Dateizugriff ohne Nutzerabfrage ermöglichte. Anthropic hat das Tool auf Cloud-Ausführung umgestellt, um den lokalen Angriffsvektor zu schließen. Nutzer, die Cowork weiterhin lokal betreiben, müssen manuelle Absicherungsmaßnahmen vornehmen, um ihre Daten zu schützen.