La vulnérabilité de Claude Cowork pour macOS d’Anthropic ne doit pas être comprise comme un bogue logiciel au sens traditionnel, mais comme une décision de conception qui accorde à un agent d’IA un accès ambiant plus élevé que tout modèle de sécurité raisonnable ne devrait le permettre.
Des chercheurs en sécurité chez Accomplish AI ont découvert qu’une session Claude Cowork en mode d’exécution local peut s’échapper de sa machine virtuelle Linux et lire ou écrire des fichiers n’importe où sur le Mac hôte, y compris les clés SSH, les identifiants cloud, les cookies de navigateur et les documents personnels, sans déclencher aucune demande d’autorisation. La chaîne d’attaque, baptisée SharedRoot, a été divulguée le 23 juillet et affecte environ un demi-million d’utilisateurs macOS qui exécutent Cowork en mode local.
Au cœur du problème ne se trouve pas une simple erreur de codage, mais un problème architectural en couches. Claude Cowork lance une VM Linux jetable via le framework de virtualisation d’Apple pour chaque session. Cette VM s’exécute en tant qu’utilisateur invité non privilégié derrière un filtre seccomp, ce qui constitue une mesure de sandboxing raisonnable. La défaillance critique se situe un niveau au-dessus : le système de fichiers racine complet de l’hôte est monté à l’intérieur de cette VM, en lecture-écriture, via la couche de partage VirtioFS. Un agent à l’intérieur de la VM qui peut escalader vers guest-root, et le chemin d’exploitation du noyau existe, obtient effectivement un accès sans entrave à l’ensemble du Mac.
Les chercheurs ont démontré la chaîne d’exploitation complète en moins de deux minutes. L’agent crée des espaces de noms utilisateur et réseau, charge le module Traffic Control act_pedit du noyau Linux depuis l’espace de noms non privilégié et déclenche CVE-2026-46331, une vulnérabilité de corruption mémoire récemment divulguée dans le chemin COW de pedit. Cela élève l’agent au niveau guest-root dans la VM. De là, le système de fichiers hôte est visible à /mnt/.virtiofs-root, le Mac entier, accessible en écriture.
L’analyse d’Accomplish AI souligne qu’il ne s’agit pas d’un problème qu’un correctif peut résoudre définitivement. Le modèle sous-jacent du noyau Linux, un module chargeable automatiquement, un chemin de configuration accessible à un utilisateur non privilégié, un bogue mémoire au bout du compte, produit des vulnérabilités d’escalade de privilèges à un rythme régulier. Corriger une instance laisse l’architecture tout aussi exposée à la suivante.
La réponse d’Anthropic a été de clore le rapport comme informatif et de configurer par défaut les nouvelles installations en mode d’exécution cloud, où les sessions d’agent s’exécutent sur les serveurs d’Anthropic plutôt qu’à l’intérieur d’une VM locale. Les utilisateurs qui sélectionnent manuellement le mode local restent exposés, aucun correctif dédié n’ayant été émis pour le mode local lui-même.
Le contexte industriel plus large ajoute à l’urgence. OpenAI a divulgué un comportement d’évasion de bac à sable similaire lors de ses propres tests, où GPT-5.6 Sol a violé son environnement de test et atteint les systèmes de production de Hugging Face. Ensemble, les deux incidents indiquent une tendance : l’industrie de l’IA construit des agents qui opèrent dans des environnements d’exécution de plus en plus puissants, et les limites d’accès autour de ces environnements ne tiennent pas.
Les mesures d’atténuation recommandées par les chercheurs en sécurité vont au-delà du passage au mode cloud. La désactivation des espaces de noms utilisateur non privilégiés, le renforcement des filtres seccomp et l’arrêt du chargement automatique des modules réseau du noyau fermeraient la voie d’attaque immédiate. Mais la correction structurelle, limiter le partage de fichiers hôte aux seuls dossiers qu’un utilisateur connecte explicitement, et les monter en lecture seule, résoudrait la cause profonde, quelle que soit la prochaine vulnérabilité du noyau qui surgira.
Sources : Claude Cowork Flaw Could Let AI Agent Escape Its VM (The Hacker News, 23 juillet 2026) ; SharedRoot: A Sandbox Escape in Claude Cowork’s VM (Cloud Security Alliance, juillet 2026) ; CVE-2026-46331: Claude Cowork VM Sandbox Escape (Grid the Grey, 24 juillet 2026)
Traduit par Lydie