O que uma única mensagem alcançou

A 23 de julho, a empresa de segurança Accomplish divulgou uma falha a que chamou SharedRoot. O seu investigador principal, Oren Yomtov, descreveu o teste com sobriedade: ligaram uma pasta a uma sessão nova do Claude Cowork, enviaram uma mensagem breve e viram o agente sair da sandbox.

O Claude Cowork executa o seu agente dentro de uma máquina virtual Linux no Mac, construída sobre a própria plataforma de virtualização da Apple. Cada sessão recebe um utilizador sem privilégios e uma filtragem das chamadas ao sistema, o que dá peso à palavra sandbox. O problema não era a caixa. Era o que a caixa podia ver.

Todo o sistema de ficheiros do anfitrião estava montado nessa máquina com acesso de leitura e escrita. De dentro, o agente alcançou chaves SSH, credenciais de nuvem, chaves de API, repositórios de código e tudo o resto a que a conta ligada pudesse tocar. Segundo a contagem da empresa, cerca de 500.000 pessoas tinham corrido o Cowork localmente antes de a exposição ser resolvida.

Porque não chegou uma correção

A Anthropic recebeu o relatório e fechou-o como informativo. Na linguagem dos programas de recompensa por falhas, é um reconhecimento sem uma correção dedicada, e a empresa colocou-o dentro da janela de trinta dias que o seu programa reserva para estes casos.

A sua resposta foi arquitetural, não corretiva. A versão atual do Cowork executa o agente por omissão na nuvem da Anthropic, e os investigadores concordam que esta via de fuga local não parece aplicar-se ali. A definição por omissão afastou o risco da máquina do cliente, para quem a aceite.

Fica assim uma linha clara ao meio. Se os seus programadores usam o agente no modo de nuvem por omissão, esta fuga não é problema deles. Se escolhem a execução local, por privacidade, por trabalho sem ligação ou por hábito, carregam toda a exposição, e nenhuma atualização a eliminará por eles.

A fronteira era uma montagem, não um muro

O pormenor instrutivo é o quão comum era a fraqueza. O sistema de ficheiros do anfitrião estava partilhado com a máquina virtual de modo que só o utilizador root no convidado o devesse ver. A fuga simplesmente tornou-se root dentro do convidado, através de uma falha conhecida do núcleo do Linux identificada como CVE-2026-46331, e a montagem fez o resto.

A lição para quem defende não é o erro de um único fornecedor, mas a sua forma. Uma sandbox que partilha todo o anfitrião é tão forte quanto o pressuposto de que nada lá dentro chegará alguma vez a root. Com um agente que lê conteúdo não verificado e age sobre ele, é precisamente o pressuposto que não deve fazer.

O que fechar antes de o executar localmente

Trate qualquer máquina que execute um agente local como se o agente pudesse ler a pasta pessoal, porque neste caso podia. Mantenha as chaves SSH e as credenciais de nuvem fora dos portáteis de desenvolvimento que executam agentes com conteúdo não verificado, ou limite esses agentes para que a partilha do sistema de ficheiros do anfitrião fique restrita às pastas ligadas e montada apenas para leitura.

Onde a plataforma o permita, os investigadores recomendam desativar os espaços de nomes de utilizador sem privilégios, apertar o filtro das chamadas ao sistema e impedir o carregamento a pedido de módulos do núcleo não usados - os passos que teriam bloqueado esta cadeia. São controlos de configuração, pelo que lhe cabem a si, não ao fornecedor.

O dever de notificação também lhe cabe. Ao abrigo do NIS2 na União Europeia, e do DORA para as instituições financeiras, uma credencial de programador divulgada que chega à produção é o seu incidente, a declarar no prazo - em Portugal ao CNCS. A sandbox foi vendida como segurança; a responsabilidade foi sempre sua.

Leia a seguir: A porta que ficou aberta era o registo de pacotes  |  Uma IA conduziu sozinha um ataque de ransomware inteiro