セキュリティ研究者は、Anthropicが提供するAIエージェントツール「Claude Cowork」に重大なセキュリティ脆弱性を発見しました。攻撃者はこの脆弱性を利用して、Linux仮想マシンのサンドボックスから脱出でき、Macで任意の場所にファイルを読み書きすることが可能になります。この影響は世界中で約50万人のmacOSユーザーに及ぶ可能性があります。また、この脆弱性により、オンラインサービスのログイン資格情報が盗まれるリスクも生じます。セキュリティ上のリスクは非常に深刻です。

開発者 プログラマー ハッカー コード 脆弱性

二重の防御が同時に破られた

Claude Coworkは、Anthropicが提供するAIエージェントツールであり、ユーザーの明確な承認を得た後、Macでローカルファイルやフォルダにアクセスし、タスクを実行できます。セキュリティ対策として、Anthropicは2つの制限を設けています。1つ目は、Coworkが仮想マシン内で隔離して動作すること、そして2つ目は、ユーザーが許可したファイルとフォルダのみにアクセスできることです。しかし、Accomplish AI社の研究者らは、開発者がこの脆弱性を利用して、上記の2つの防御を同時に突破できることが判明しました。つまり、Coworkが実行されているLinux仮想マシンのサンドボックスから脱出し、ホストコンピュータのファイルシステムに直接アクセスできるようになります。

技術的な詳細によると、Coworkが隔離されて動作する仮想マシンは、読み込み可能なVirtioFSマウントポイントを通じてホストコンピュータのファイルシステムを共有しています。このマウントポイントは本来、仮想マシン内のrootユーザーのみがアクセス可能でしたが、研究者らはLinuxカーネルの脆弱性（CVE-2026-46331、通称「pedit COW」と呼ばれるもの）を活用し、セッションユーザーの権限を仮想マシンのrootユーザーに昇格させました。これにより、エージェントがroot権限を獲得すると、ログインしたMacユーザーがアクセス可能なすべてのリソースにアクセスできるようになります。

クラウドでの実行による回避リスク、ローカルユーザーには依然として注意が必要

Anthropicはこの報告を「情報を含む」としてマークしましたが、直接的な修正パッチの公開はしていませんでした。その後、新しいバージョンのCoworkは、デフォルトでクラウド上でエージェントタスクを実行するように変更され、ローカルからの脱出経路を完全に回避しました。ただし、クラウドではなくローカルでエージェントを実行し続けるユーザーにとっては、リスクが依然として存在します。非特権ユーザー名前空間の無効化、ファイルシステム共有の制限、厳格なマウント保護の設定など、システム構成を強化しない限り、依然として危険にさらされています。

この出来事は、AIエージェントのローカル実行におけるセキュリティ問題を再び注目させました。AIツールがローカルファイルを読み取る権限を持つ場合、そのセキュリティ境界はAI自体の信頼性だけでなく、下位の仮想マシンの隔離メカニズムがどれだけ堅牢であるかにも依存します。AIエージェントが個人のデスクトップを急速に浸透させる現在において、ユーザー権限とAIの能力の間の信頼境界は、業界全体が再評価すべき重要な課題となっています。