Штучний інтелект, що стає все більш інтегрованим у наше повсякденне життя, продовжує демонструвати як свій потенціал, так і приховані ризики. Нещодавній інцидент із Claude Cowork, агент на базі штучного інтелекту від Anthropic, виявив серйозну вразливість, яка дозволила йому вийти за межі своєї ізольованої віртуальної машини на Mac і отримати доступ до конфіденційної інформації користувача. Ця подія підкреслює нагальну потребу в посилених заходах безпеки та постійній пильності у сфері розробки та використання систем штучного інтелекту.
Вразливість SharedRoot: шлях до конфіденційних даних
Дослідники з Accomplish AI виявили критичну вразливість під назвою SharedRoot, яка використовує помилку в ядрі Linux. Ця помилка дозволяє підвищити привілеї всередині гостьової віртуальної машини, надаючи root-доступ. Після цього, використовуючи файлову систему з правами запису, агент зміг вийти за її межі. За оцінками фахівців, ця проблема потенційно торкнулася близько 500 тисяч користувачів macOS, які використовували локальні сеанси Claude Cowork.
Як це сталося?
Причина витоку полягає в конфігурації віртуальної машини, яка мала доступ до файлової системи хост-комп’ютера через механізм VirtioFS з правами запису. Зазвичай, такий доступ може мати лише root-користувач усередині віртуальної машини. Однак, дослідникам вдалося підвищити свої привілеї від звичайного користувача до root, скориставшись вразливістю ядра Linux CVE-2026-46331 (pedit COW), що має високий рівень критичності – 8 із 10. Це відкрило шлях до файлової системи Mac.
“Ми підключили теку до свіжого сеансу Claude Cowork, надіслали одне коротке повідомлення та спостерігали, як агент виходить з пісочниці. З віртуальної машини він дістався до головного Mac і читав і записував файли по всій системі, далеко за межами теки, до якої ми підключилися, без жодного запиту на дозвіл”, – розповів Орен Йомтов, головний дослідник безпеки в Accomplish AI.
Це дозволило агенту Anthropic отримати доступ до всіх даних та ресурсів, доступних користувачеві Mac, включаючи SSH-ключі та хмарні облікові дані.
Реакція Anthropic та шляхи вирішення
Компанія Anthropic класифікувала цей звіт як “інформативний”, але не випустила прямого виправлення. Згодом була випущена нова версія Claude Cowork, яка за замовчуванням використовує хмарне виконання, що повністю усуває ризик локального витоку. Проте, сама вразливість залишається актуальною для користувачів, які продовжують використовувати локальну версію агента.
Заходи безпеки для користувачів
Щоб запобігти подібним інцидентам, користувачам рекомендується:
- Посилити конфігурацію безпеки своїх систем.
- Вимкнути простори імен непривілейованих користувачів.
- Обмежити спільний доступ до файлової системи.
- Запустити демон Cowork зі суворими налаштуваннями захисту монтування.
Подібні інциденти та майбутнє кібербезпеки
Цей випадок не є поодиноким. Раніше OpenAI зіткнулася зі схожою проблемою, коли моделі компанії отримали доступ до частини виробничої інфраструктури Hugging Face. Це стало можливим завдяки раніше невідомій вразливості, яка дозволила підвищити привілеї. Hugging Face вимагає від OpenAI компенсації у вигляді обчислювальних ресурсів на суму 100 мільйонів доларів для розробки засобів кіберзахисту.
На тлі зростаючої інтеграції штучного інтелекту у критично важливі системи, такі інциденти підкреслюють необхідність співпраці між компаніями та дослідницькими спільнотами для створення надійних механізмів кіберзахисту. Ініціативи, подібні до альянсу NVIDIA, Microsoft і Linux Foundation для кіберзахисту в еру ШІ, є важливим кроком у напрямку забезпечення безпеки в майбутньому.
