Das KI-Sicherheitsunternehmen Accomplish AI hat eine problematische Lücke im KI-Assistenten Claude Cowork für macOS entdeckt. Damit ist es Angreifern möglich, über eigentlich nicht vertrauenswürdige Inhalte die virtuelle Maschine, die Cowork eigentlich verwendet, zu verlassen, um dann überall auf dem Mac Schreibrechte zu bekommen. Der Sandbox-Exploit sei durch Anthropics Designentscheidungen möglich, die interessanter seien als ein von den Sicherheitsforschern entdeckter Kernel-Bug, schreiben sie.
Trick mit Linux-Subsystem
Der Fehler, der auf den Namen SharedRoot getauft wurde, setzt sich auch über Limits hinweg, die der Nutzer gesetzt hat, etwa vorher festgelegte Ordner, die Claude Cowork beschreiben darf. Neben dem Schreibvorgang sei es auch möglich, aus der VM heraus Dateien zu lesen – etwa SSH-Schlüssel und Cloud-Zugänge. Angreifern stünden alle Inhalte zur Verfügung, die der verwendete User-Account nutzen könne. Accomplish.ai lobte zunächst den Ansatz von Claude. Es handele sich um eine „echte VM“, der Nutzer der jeweiligen Session habe kaum Rechte, es gebe einen Seccomp-Filter und eine Brokered-Mount-Schicht.
Hauptproblem ist demnach, dass das Host-Dateisystem mit der VM im Read-Write-Modus geteilt wird. Mithilfe eines nachgeladenen Linux-Subsystems, in dem eine ungepatchte Lücke steckt, ließ sich ein Guest-Root-Zugang herstellen. Der wiederum greift dann auf das echte Mac-Dateisystem zu.
