Un dossier connecté, une session neuve, un message court : c’est tout ce dont vous avez besoin pour faire sortir Claude Cowork de la machine virtuelle censée le contenir, pour qu’il puisse lire et écrire des fichiers un peu partout sur la machine, sans la moindre demande d’autorisation. Baptisée SharedRoot, cette chaîne d’attaque a été signalée à Anthropic. Voici ce que l’on sait.
Le partage intégral du disque hôte, un détail qui pique
Claude Cowork est l’outil d’Anthropic destiné à automatiser des tâches bureautiques. Sur macOS, l’application fonctionne sous le compte de l’utilisateur connecté, tandis que l’agent opère dans une machine virtuelle Linux créée via le framework Virtualization d’Apple. Chaque session obtient son propre utilisateur non privilégié, encadré par un filtre seccomp. Les dossiers connectés sont montés dans la VM par un démon exécuté en tant que root, nommé coworkd. En théorie, cela garantit que les actions de l’agent restent confinées à la VM et aux dossiers spécifiquement autorisés.
Cependant, Oren Yomtov, chercheur en sécurité chez Accomplish AI, a mis en lumière une faille dans cette cloisonnement sur les machines macOS. Il a révélé que la totalité du système de fichiers de l’hôte, soit la racine / du Mac, serait montée en lecture-écriture dans la VM, à l’emplacement /mnt/.virtiofs-root, et accessible uniquement par l’utilisateur root du système invité. Cela signifie que l’ensemble du poste de travail est déjà présent à l’intérieur du bac à sable, avec pour seule barrière les privilèges de l’agent.
Selon un rapport publié par Accomplish AI, l’exploitation de cette vulnérabilité se déroule en six étapes :
- Point de départ : l’agent fonctionne comme utilisateur de session non privilégié, sans faille exploitée à ce stade.
- Obtention de capacités : la session crée un espace de noms utilisateur non privilégié et acquiert
CAP_NET_ADMIN, une fonctionnalité du noyau. - Accès au code vulnérable : cette capacité permet de configurer une action de contrôle de trafic, déclenchant le chargement du module
act_pedit. - Primitive d’écriture :
act_peditest vulnérable à la CVE-2026-46331, permettant d’empoisonner en mémoire un fichier en lecture seule. - Élévation de privilèges :
coworkd, s’exécutant en root, réexécute le binaire empoisonné, contournant le garde-fouNoNewPrivs. - Évasion de la VM : root accède à
/mnt/.virtiofs-root, et peut lire et écrire sur tout l’hôte avec les droits de l’utilisateur du bureau.
Quel est l’avis d’Anthropic ?
Ce problème de sécurité soulève des préoccupations directes pour Anthropic, l’éditeur de Claude Cowork. Accomplish AI a signalé la chaîne d’attaque à Anthropic, qui a clos le rapport en le qualifiant d' »informative ». Deux raisons ont été évoquées : la faille de sécurité relevait d’une fenêtre d’exclusion pour les vulnérabilités publiées dans les trente derniers jours, et les recommandations de durcissement étaient considérées comme de la défense en profondeur plutôt que comme des vulnérabilités autonomes.
Accomplish AI juge cette décision défendable dans le cadre d’un programme de bug bounty, mais souligne qu’elle ne reflète pas l’exposition réelle d’un poste de travail. Les chercheurs ont également noté que Claude Cowork utilise désormais l’exécution dans le cloud par défaut, ce qui pourrait limiter l’application de cette vulnérabilité.
Que faire pour se protéger ?
Accomplish AI recommande plusieurs mes d’architecture pour briser cette chaîne d’attaque :
- Refuser les espaces de noms utilisateur non privilégiés.
- Durcir le filtre
seccomp, jugé trop permissif. - Empêcher le chargement automatique des modules noyau inutiles.
- Ne monter dans la VM que les dossiers réellement connectés, plutôt que la totalité de l’hôte.
Cette dernière me est considérée comme la plus cruciale pour éviter l’accès non autorisé au poste de travail.
Source : Accomplish AI
