Claude Coworkでサンドボックス突破の脆弱性が発覚

AIスタートアップAccomplishの研究レポートにより、Anthropicの自律型AIエージェントツール Claude Cowork（Anthropicが提供するデスクトップ向け協調型AIエージェント） のmacOS環境において、仮想マシン（VM）のサンドボックスを脱出してホストMac内のSSHキーや認証情報へアクセスできる脆弱性「SharedRoot」が実証されました。

サンドボックス脱出の攻撃手順と検証事実

Claude Coworkは、ユーザー権限で動作する非特権Linux VM環境内でエージェントの処理を実行する設計となっています。しかし、Accomplishの調査により、ホスト側のファイルシステム全体がVM内部の /mnt/.virtiofs-root にマウントされている点が判明しました。

研究者は以下の連鎖的アプローチにより、エージェントを特権昇格させてサンドボックス制限を突破しました。

1. unshare コマンドで新たなユーザー名前空間を生成
2. カーネルモジュール act_pedit をロード
3. Linuxカーネルの既知の特権昇格脆弱性 CVE-2026-46331（Linuxカーネルのページキャッシュ汚染に関するセキュリティ脆弱性） を悪用してroot権限を取得
4. root権限で /mnt/.virtiofs-root を通じてホストMacの機密ファイルへアクセス

Anthropicの対応と未確認事項

項目	詳細
影響を受けるOS	macOS環境（Apple Virtualization Framework利用時のみ）
Anthropicの判断	問題の根幹がLinuxカーネルの脆弱性にあるため「参考情報」として処理
未確認事項	Anthropicによる仮想化マウント設定（VirtioFS）の独自改修計画

エージェントセキュリティへの影響と分析

本問題は、AIエージェント自体に脆弱性がなくても、下層のOSや仮想化レイヤーの脆弱性を突かれることで分離機能が無力化する実例を示しています。開発者や管理者は、AIエージェントをローカル端末で運用する際、仮想環境のOSカーネル更新を迅速に行うとともに、不要なファイルシステムマウント範囲を極力狭める最小権限の設計が求められます。

引用元：マイナビニュース TECH+