Falha de sandbox escape no Claude Cowork permitia acesso total ao Mac a partir da VM do agente
A empresa de segurança Accomplish AI encontrou uma vulnerabilidade no Claude Cowork, da Anthropic, que permitia escapar da máquina virtual Linux onde o agente de IA é executado e ler ou escrever arquivos em qualquer parte do sistema macOS do usuário. O problema afetava cerca de 500 mil usuários que rodavam o Cowork localmente e explorava uma falha do kernel Linux relacionada ao subsistema Traffic Control, rastreada como CVE-2026-46331.
O Claude Cowork roda o agente de IA dentro de uma VM Linux para isolá-lo do restante do sistema macOS do usuário, um modelo de segurança que depende inteiramente da integridade dessa fronteira de virtualização. A pesquisa da Accomplish AI mostrou que essa fronteira era mais frágil do que parecia: por conveniência de acesso a arquivos, todo o sistema de arquivos do host era montado dentro da VM em modo leitura-escrita, no caminho /mnt/.virtiofs-root. Ou seja, o “isolamento” já nascia com uma porta aberta para o disco inteiro do Mac.
A cadeia de exploração usava uma vulnerabilidade do tipo pedit COW no subsistema Traffic Control (tc) do kernel Linux, catalogada como CVE-2026-46331, para obter privilégios de root dentro da própria VM. Com root na VM e o filesystem do host já montado como leitura-escrita, o agente comprometido conseguia ler e escrever arquivos muito além da pasta específica que o usuário havia autorizado a compartilhar — incluindo potencialmente chaves SSH e credenciais de nuvem — sem que nenhum prompt de permissão fosse exibido em momento algum.
A resposta da Anthropic chama atenção: o relatório foi fechado sem a emissão de uma correção específica para esse vetor. A mitigação de fato veio de uma mudança arquitetural paralela, já que versões recentes do Cowork passaram a rodar por padrão em execução na nuvem em vez de localmente, o que reduz a exposição — mas deixa os usuários que ainda executam sessões locais efetivamente vulneráveis.
O caso é um lembrete de que sandboxes baseados em VM para agentes de IA não são seguros por definição: a segurança depende de detalhes de configuração como o modo de montagem do filesystem compartilhado e da superfície de ataque do próprio kernel dentro da VM. À medida que ferramentas de “coding agent” ganham acesso amplo ao disco do usuário para serem úteis, cada camada adicional de conveniência (como um mount read-write do host inteiro) se torna um candidato natural para quebra de isolamento, e produtos concorrentes com arquiteturas semelhantes provavelmente merecem o mesmo escrutínio.