Vad ett enda meddelande nådde

Den 23 juli offentliggjorde säkerhetsfirman Accomplish en brist som den kallade SharedRoot. Dess ledande forskare, Oren Yomtov, beskrev testet nyktert: de kopplade en mapp till en ny Claude-Cowork-session, skickade ett kort meddelande och såg agenten lämna sandlådan.

Claude Cowork kör sin agent inuti en virtuell Linux-maskin på Macen, byggd på Apples eget virtualiseringsramverk. Varje session får en användare utan rättigheter och en filtrering av systemanrop, vilket är det som ger ordet sandlåda tyngd. Problemet var inte lådan. Det var vad lådan kunde se.

Hela värdens filsystem var monterat i den maskinen med läs- och skrivåtkomst. Inifrån nådde agenten SSH-nycklar, molnuppgifter, API-nycklar, kodarkiv och allt annat som det inloggade kontot kunde röra. Enligt firmans räkning hade omkring 500.000 personer kört Cowork lokalt innan exponeringen åtgärdades.

Varför ingen rättelse kom

Anthropic tog emot rapporten och stängde den som informativ. I språkbruket kring bug-bounty-program är det ett erkännande utan en egen rättelse, och företaget placerade den inom det fönster på trettio dagar som dess program avsätter för sådana fall.

Svaret var arkitektoniskt, inte korrigerande. Den nuvarande versionen av Cowork kör agenten som standard i Anthropics moln, och forskarna är överens om att denna lokala utbrottsväg inte tycks gälla där. Standardinställningen flyttade risken bort från kundens maskin, för var och en som accepterar den.

Därmed kvarstår en tydlig linje i mitten. Kör dina utvecklare agenten i standard-molnläget är detta utbrott inte deras problem. Väljer de lokal körning, av integritetsskäl, för offline-arbete eller av vana, bär de hela exponeringen, och ingen uppdatering kommer att ta bort den åt dem.

Gränsen var en montering, inte en mur

Den lärorika detaljen är hur vanlig svagheten var. Värdens filsystem var delat med den virtuella maskinen så att bara root-användaren i gästen skulle se det. Utbrottet blev helt enkelt root inuti gästen via en känd brist i Linux-kärnan med beteckningen CVE-2026-46331, och monteringen skötte resten.

Läxan för försvarare är inte en enskild leverantörs misstag, utan dess form. En sandlåda som delar hela värden är bara så stark som antagandet att inget inuti någonsin blir root. Med en agent som läser overifierat innehåll och agerar på det är det just det antagande du inte bör göra.

Vad som ska låsas innan den körs lokalt

Behandla varje maskin som kör en lokal agent som om agenten kan läsa hemmappen, för i det här fallet kunde den det. Håll SSH-nycklar och molnuppgifter borta från utvecklares bärbara datorer som kör agenter med overifierat innehåll, eller begränsa de agenterna så att delningen av värdens filsystem är inskränkt till de anslutna mapparna och monterad skrivskyddad.

Där plattformen tillåter det rekommenderar forskarna att inaktivera användarnamnrymder utan rättigheter, skärpa filtret för systemanrop och förhindra inläsning vid behov av oanvända kärnmoduler - de steg som skulle ha blockerat just denna kedja. Detta är konfigurationskontroller, och de ligger därför hos dig, inte hos leverantören.

Anmälningsplikten ligger också hos dig. Under NIS2 i Europeiska unionen och under DORA för finansiella företag är en läckt utvecklaruppgift som når produktionen din incident, att anmäla i rätt tid - i Sverige till MSB. Sandlådan såldes som säkerhet; ansvaret var alltid ditt.

Läs vidare: Dörren som stod öppen var paketkällan  |  En AI körde själv ett helt ransomware-angrepp