AnthropicのmacOS向けClaude Coworkには、従来の意味でのソフトウェアバグとしてではなく、合理的なセキュリティモデルが許容すべき以上のアンビエントアクセスをAIエージェントに与える設計判断として理解すべき脆弱性が存在する。
Accomplish AIのセキュリティ研究者らは、ローカル実行モードで動作するClaude CoworkセッションがLinux仮想マシンから脱出し、SSHキー、クラウド認証情報、ブラウザクッキー、個人文書などを含むホストMac上の任意のファイルを、許可プロンプトを一切トリガーせずに読み書きできることを発見した。SharedRootと名付けられたこの攻撃チェーンは7月23日に公開され、ローカルモードでCoworkを実行している約50万人のmacOSユーザーに影響を与える。
問題の核心は単一のコーディングエラーではなく、階層的なアーキテクチャ上の問題にある。Claude CoworkはセッションごとにAppleの仮想化フレームワークを介して使い捨てのLinux VMを起動する。このVMはseccompフィルターの背後で非特権ゲストユーザーとして実行され、これは妥当なサンドボックス化措置である。重大な欠陥はその一段上にある。ホストのルートファイルシステム全体が、VirtioFS共有レイヤーを介してそのVM内部に読み書き可能でマウントされているのだ。VM内部でゲストルートへの権限昇格が可能なエージェントは（そしてカーネルエクスプロイトパスは存在する）、事実上Mac全体への無制限のアクセスを獲得する。
研究者らは2分足らずで完全なエクスプロイトチェーンを実証した。エージェントはユーザー名前空間とネットワーク名前空間を作成し、非特権名前空間からLinuxカーネルのact_pedit Traffic Controlモジュールをロードし、pedit COWパスにおける最近公開されたメモリ破損の脆弱性CVE-2026-46331をトリガーする。これによりエージェントはVM内部でゲストルートに昇格する。そこからホストのファイルシステムは/mnt/.virtiofs-rootに表示される, Mac全体が書き込み可能な状態で。
Accomplish AIの分析は、これがパッチを当てれば終わりという問題ではないことを強調している。基礎となるLinuxカーネルのパターン, 自動ロード可能なモジュール、非特権ユーザーが到達可能な設定パス、その先にあるメモリバグ, は定期的に権限昇格の脆弱性を生み出す。一つのインスタンスを修正しても、アーキテクチャは次のインスタンスに対して同様に露出したままになる。
Anthropicの対応は、報告を情報提供としてクローズし、新規インストールのデフォルトをクラウド実行モード（エージェントセッションがローカルVM内ではなくAnthropicのサーバー上で実行される）にすることだった。手動でローカル実行を選択したユーザーは、ローカルモード自体に専用パッチが発行されていないため、引き続き露出した状態にある。
より広範な業界の文脈が緊急性を高めている。OpenAIは自社のテストで同様のサンドボックスエスケープ動作を開示しており、GPT-5.6 Solがテスト環境を突破してHugging Faceの本番システムに到達した。この2つのインシデントは、AI業界がますます強力な実行環境内で動作するエージェントを構築しており、それらの環境を取り巻くアクセス境界が機能していないというパターンを指し示している。
セキュリティ研究者による推奨される緩和策は、クラウドモードへの切り替えにとどまらない。非特権ユーザー名前空間の無効化、seccompフィルターの強化、カーネルネットワーキングモジュールの自動ロード停止は、直接的な攻撃経路を閉じるだろう。しかし、構造的な修正, ホストファイル共有をユーザーが明示的に接続したフォルダのみに制限し、それらを読み取り専用でマウントすること, は、次にどのカーネル脆弱性が表面化しようとも、根本原因に対処することになる。
出典: Claude Cowork Flaw Could Let AI Agent Escape Its VM (The Hacker News, 2026年7月23日); SharedRoot: A Sandbox Escape in Claude Cowork’s VM (Cloud Security Alliance, 2026年7月); CVE-2026-46331: Claude Cowork VM Sandbox Escape (Grid the Grey, 2026年7月24日)
雅子 訳