Wat een enkel bericht bereikte

Op 23 juli maakte het beveiligingsbedrijf Accomplish een lek bekend dat het SharedRoot noemde. Hoofdonderzoeker Oren Yomtov beschreef de test nuchter: ze koppelden een map aan een nieuwe Claude-Cowork-sessie, stuurden een kort bericht en zagen de agent de sandbox verlaten.

Claude Cowork draait zijn agent in een virtuele Linux-machine op de Mac, gebouwd op Apples eigen virtualisatieraamwerk. Elke sessie krijgt een gebruiker zonder rechten en een filter op systeemaanroepen, wat het woord sandbox gewicht geeft. Het probleem was niet de doos. Het was wat de doos kon zien.

Het volledige bestandssysteem van de host was in die machine gekoppeld met lees- en schrijftoegang. Van binnenuit bereikte de agent SSH-sleutels, cloudgegevens, API-sleutels, codebronnen en al het andere dat het aangemelde account kon aanraken. Volgens de telling van het bedrijf hadden zo'n 500.000 mensen Cowork lokaal gedraaid voordat de blootstelling werd verholpen.

Waarom er geen patch kwam

Anthropic ontving het rapport en sloot het als informatief. In de taal van bug-bountyprogramma's is dat een erkenning zonder eigen patch, en het bedrijf plaatste het binnen het venster van dertig dagen dat zijn programma voor zulke gevallen reserveert.

Het antwoord was architectonisch, niet corrigerend. De huidige versie van Cowork draait de agent standaard in de cloud van Anthropic, en de onderzoekers zijn het erover eens dat dit lokale uitbraakpad daar niet lijkt te gelden. De standaardinstelling haalde het risico weg van de machine van de klant, voor wie het aanvaardt.

Zo blijft er een duidelijke scheidslijn in het midden. Draaien uw ontwikkelaars de agent in de standaard cloudmodus, dan is deze uitbraak niet hun probleem. Kiezen zij lokale uitvoering, om privacy, voor offline werk of uit gewoonte, dan dragen zij de hele blootstelling, en geen update zal die voor hen wegnemen.

De grens was een koppeling, geen muur

Het leerzame detail is hoe gewoon de zwakte was. Het bestandssysteem van de host was zo met de virtuele machine gedeeld dat alleen de root-gebruiker in de gast het mocht zien. De uitbraak werd simpelweg root in de gast, via een bekend lek in de Linux-kernel met kenmerk CVE-2026-46331, en de koppeling deed de rest.

De les voor verdedigers is niet de fout van een enkele leverancier, maar de vorm ervan. Een sandbox die de hele host deelt, is zo sterk als de aanname dat niets erin ooit root wordt. Bij een agent die niet-geverifieerde inhoud leest en daarnaar handelt, is dat juist de aanname die u niet moet maken.

Wat te vergrendelen voordat u het lokaal draait

Behandel elke machine die een lokale agent draait alsof de agent de persoonlijke map kan lezen, want in dit geval kon dat. Houd SSH-sleutels en cloudgegevens weg van ontwikkellaptops die agenten met niet-geverifieerde inhoud draaien, of beperk die agenten zo dat de gedeelde host beperkt is tot de gekoppelde mappen en alleen-lezen is.

Waar het platform het toelaat, raden de onderzoekers aan om gebruikersnaamruimten zonder rechten uit te schakelen, het filter op systeemaanroepen aan te scherpen en het op verzoek laden van ongebruikte kernelmodules te voorkomen - de stappen die deze keten hadden geblokkeerd. Dit zijn configuratiemaatregelen, en die liggen dus bij u, niet bij de leverancier.

De meldplicht ligt ook bij u. Onder NIS2 in de Europese Unie, en onder DORA voor financiële bedrijven, vormen gelekte inloggegevens van een ontwikkelaar die de productie bereiken uw incident, dat u tijdig moet melden - in Nederland bij het NCSC. De sandbox werd als veiligheid verkocht; de verantwoordelijkheid was altijd de uwe.

Lees hierna: De deur die openstond was de pakketbron  |  Een AI voerde een hele ransomware-aanval alleen uit