// HEISE ONLINE — INTELLIGENZA ARTIFICIALE
Lücke: Claude Cowork entkommt macOS-Sandbox
Die Nutzung von KI-Agenten direkt auf dem Rechner kann Gefahren mit sich bringen. Das zeigt eine soeben entdecktes Sicherheitsloch in Claude Cowork für den Mac.
Anthropic bewirbt Claude Cowork unter anderem für Rechtsteams.
Das KI-Sicherheitsunternehmen Accomplish AI hat eine problematische Lücke im KI-Assistenten Claude Cowork für macOS entdeckt. Damit ist es Angreifern möglich, über eigentlich nicht vertrauenswürdige Inhalte die virtuelle Maschine, die Cowork eigentlich verwendet, zu verlassen, um dann überall auf dem Mac Schreibrechte zu bekommen. Der Sandbox-Exploit sei durch Anthropics Designentscheidungen möglich, die interessanter seien als ein von den Sicherheitsforschern entdeckter Kernel-Bug, schreiben sie.
Der Fehler, der auf den Namen SharedRoot getauft wurde, setzt sich auch über Limits hinweg, die der Nutzer gesetzt hat, etwa vorher festgelegte Ordner, die Claude Cowork beschreiben darf. Neben dem Schreibvorgang sei es auch möglich, aus der VM heraus Dateien zu lesen – etwa SSH-Schlüssel und Cloud-Zugänge. Angreifern stünden alle Inhalte zur Verfügung, die der verwendete User-Account nutzen könne. Accomplish.ai lobte zunächst den Ansatz von Claude. Es handele sich um eine „echte VM“, der Nutzer der jeweiligen Session habe kaum Rechte, es gebe einen Seccomp-Filter und eine Brokered-Mount-Schicht.
Hauptproblem ist demnach, dass das Host-Dateisystem mit der VM im Read-Write-Modus geteilt wird. Mithilfe eines nachgeladenen Linux-Subsystems, in dem eine ungepatchte Lücke steckt, ließ sich ein Guest-Root-Zugang herstellen. Der wiederum greift dann auf das echte Mac-Dateisystem zu.
Accomplish.ai schätzt, dass von dem Problem bis zu 500.000 macOS-Nutzer betroffen gewesen sein könnten. Es wurde allerdings nur indirekt behoben: Anthropic teilte mit, die Lücke sei zwar „informativ“, doch interne Änderungen machten sie nicht mehr ausnutzbar. Denn Claude Cowork bedient sich jetzt nicht mehr der Ausführung einer lokalen VM, sondern nutzt die sogenannte Cloud-Execution.
Damit ist der Sandbox-Escape nicht mehr nutzbar. Allerdings ist es immer noch möglich, den KI-Agenten lokal laufen zu lassen. Dies sollte man bis zu einem möglichen Fix unterlassen, außer man härtet seine eigene Konfiguration. Claude Cowork wird für diverse Zielgruppen außerhalb des Coding-Spektrums vermarktet, darunter Anwälte, Marketingleute oder Geschäftsentwickler.
Mit Ihrer Zustimmung wird hier ein externer Preisvergleich (heise Preisvergleich) geladen.
Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden.
Damit können personenbezogene Daten an Drittplattformen (heise Preisvergleich) übermittelt werden.
Mehr dazu in unserer
Datenschutzerklärung.
Mac & i informiert Sie im täglichen Newsletter über alles Wichtige rund um Mac, iPhone und Apple Watch.