Ce qu'un seul message a atteint
Le 23 juillet, la société de sécurité Accomplish a dévoilé une faille qu'elle a nommée SharedRoot. Son chercheur principal, Oren Yomtov, a décrit l'essai sobrement: ils ont relié un dossier à une nouvelle session de Claude Cowork, envoyé un court message et vu l'agent sortir de la sandbox.
Claude Cowork exécute son agent dans une machine virtuelle Linux sur le Mac, bâtie sur le framework de virtualisation maison d'Apple. Chaque session reçoit un utilisateur sans privilèges et un filtrage des appels système, ce qui donne du poids au mot sandbox. Le problème n'était pas la boîte. C'était ce que la boîte pouvait voir.
L'ensemble du système de fichiers de l'hôte était monté dans cette machine avec un accès en lecture et en écriture. De l'intérieur, l'agent a atteint des clés SSH, des identifiants cloud, des clés d'API, des dépôts de code et tout le reste auquel le compte connecté pouvait accéder. Selon le décompte de la société, environ 500.000 personnes avaient exécuté Cowork en local avant que l'exposition soit corrigée.
Pourquoi aucun correctif n'est venu
Anthropic a reçu le rapport et l'a classé comme informatif. Dans le vocabulaire des programmes de prime aux bugs, c'est une reconnaissance sans correctif dédié, et l'entreprise l'a placé dans la fenêtre de trente jours que son programme réserve à ces cas.
Sa réponse a été architecturale, non corrective. La version actuelle de Cowork exécute l'agent par défaut dans le cloud d'Anthropic, et les chercheurs conviennent que cette voie d'évasion locale ne semble pas s'y appliquer. Ce réglage par défaut a écarté le risque de la machine du client, pour quiconque l'accepte.
Il reste ainsi une ligne de partage nette. Si vos développeurs utilisent l'agent dans le mode cloud par défaut, cette évasion n'est pas leur problème. S'ils optent pour l'exécution locale, par souci de confidentialité, pour travailler hors ligne ou par habitude, ils en portent toute l'exposition, et aucune mise à jour ne viendra la supprimer pour eux.
La frontière était un montage, pas un mur
Le détail instructif, c'est à quel point la faiblesse était ordinaire. Le système de fichiers de l'hôte était partagé avec la machine virtuelle de telle sorte que seul l'utilisateur root de l'invité était censé le voir. L'évasion a simplement consisté à devenir root dans l'invité, via une faille connue du noyau Linux répertoriée sous CVE-2026-46331, et le montage a fait le reste.
La leçon pour les défenseurs n'est pas l'erreur d'un seul éditeur, mais sa forme. Une sandbox qui partage tout l'hôte ne vaut que l'hypothèse sur laquelle elle repose: que rien, à l'intérieur, ne deviendra jamais root. Avec un agent qui lit des contenus non vérifiés et agit en conséquence, c'est précisément l'hypothèse qu'il ne faut pas faire.
Ce qu'il faut verrouiller avant de l'exécuter en local
Traitez toute machine qui exécute un agent local comme si l'agent pouvait lire le dossier personnel, car dans ce cas il le pouvait. Gardez les clés SSH et les identifiants cloud hors des portables de développement qui exécutent des agents traitant des contenus non vérifiés, ou restreignez ces agents pour que le partage du système de fichiers de l'hôte se limite aux dossiers connectés et reste en lecture seule.
Là où la plateforme le permet, les chercheurs recommandent de désactiver les espaces de noms utilisateur non privilégiés, de durcir le filtre des appels système et d'empêcher le chargement à la demande des modules du noyau inutilisés - les étapes qui auraient bloqué précisément cette chaîne. Ce sont des réglages de configuration, et ils vous incombent donc, pas à l'éditeur.
Le devoir de notification vous revient lui aussi. Sous NIS2 dans l'Union européenne, et sous DORA pour les entreprises financières, un identifiant de développeur ayant fuité et atteignant la production constitue votre incident, à déclarer dans les délais - en France auprès de l'ANSSI. La sandbox a été vendue comme une garantie de sécurité; la responsabilité, elle, vous a toujours appartenu.
À lire ensuite: La porte restée ouverte, c'était le dépôt de paquets | Une IA a mené seule toute une attaque par rançongiciel
