Hvad en enkelt besked nåede
Den 23. juli offentliggjorde sikkerhedsfirmaet Accomplish en fejl, det kaldte SharedRoot. Dets ledende forsker, Oren Yomtov, beskrev testen nøgternt: de forbandt en mappe med en ny Claude-Cowork-session, sendte en kort besked og så agenten forlade sandkassen.
Claude Cowork kører sin agent inde i en virtuel Linux-maskine på Mac'en, bygget på Apples eget virtualiseringsframework. Hver session får en bruger uden rettigheder og en filtrering af systemkald, hvilket er det, der giver ordet sandkasse vægt. Problemet var ikke kassen. Det var, hvad kassen kunne se.
Hele værtens filsystem var monteret i den maskine med læse- og skriveadgang. Indefra nåede agenten SSH-nøgler, cloud-legitimationsoplysninger, API-nøgler, kodearkiver og alt andet, som den tilkoblede konto kunne røre. Ifølge firmaets optælling havde omkring 500.000 mennesker kørt Cowork lokalt, før eksponeringen blev udbedret.
Hvorfor der ikke kom en rettelse
Anthropic modtog rapporten og lukkede den som informativ. I sproget fra bug-bounty-programmer er det en anerkendelse uden en dedikeret rettelse, og virksomheden placerede den inden for det vindue på tredive dage, som dets program afsætter til sådanne tilfælde.
Svaret var arkitektonisk, ikke korrigerende. Den nuværende version af Cowork kører agenten som standard i Anthropics sky, og forskerne er enige om, at denne lokale udbrudssti ikke ser ud til at gælde der. Standardindstillingen flyttede risikoen væk fra kundens maskine, for enhver, der accepterer den.
Dermed står der en klar linje i midten. Kører dine udviklere agenten i standard-skytilstanden, er dette udbrud ikke deres problem. Vælger de lokal kørsel, af hensyn til privatliv, offline-arbejde eller vane, bærer de hele eksponeringen, og ingen opdatering vil fjerne den for dem.
Grænsen var en montering, ikke en mur
Den lærerige detalje er, hvor almindelig svagheden var. Værtens filsystem var delt med den virtuelle maskine, således at kun root-brugeren i gæsten skulle se det. Udbruddet blev simpelthen root inde i gæsten via en kendt fejl i Linux-kernen med kendingen CVE-2026-46331, og monteringen klarede resten.
Læren for forsvarere er ikke en enkelt leverandørs fejl, men dens form. En sandkasse, der deler hele værten, er kun så stærk som antagelsen om, at intet indeni nogensinde bliver root. Med en agent, der læser uverificeret indhold og handler på det, er det netop den antagelse, du ikke bør gøre.
Hvad der skal låses, før den køres lokalt
Behandl enhver maskine, der kører en lokal agent, som om agenten kan læse hjemmemappen, for i dette tilfælde kunne den. Hold SSH-nøgler og cloud-legitimationsoplysninger væk fra udvikler-bærbare, der kører agenter med uverificeret indhold, eller begræns de agenter, så delingen af værtens filsystem er indskrænket til de tilkoblede mapper og monteret skrivebeskyttet.
Hvor platformen tillader det, anbefaler forskerne at deaktivere brugernavnerum uden rettigheder, stramme filteret på systemkald og forhindre indlæsning efter behov af ubrugte kernemoduler - de skridt, der ville have blokeret netop denne kæde. Det er konfigurationskontroller, og de ligger derfor hos dig, ikke hos leverandøren.
Anmeldelsespligten ligger også hos dig. Under NIS2 i Den Europæiske Union og under DORA for finansielle virksomheder er en lækket udvikler-legitimation, der når produktionen, din hændelse, som du anmelder rettidigt - i Danmark til Center for Cybersikkerhed. Sandkassen blev solgt som sikkerhed; ansvaret var altid dit.
Læs videre: Døren, der stod åben, var pakkekilden | En AI kørte selv et helt ransomware-angreb
