Lücke: Claude Cowork entkommt macOS-Sandbox

Sicherheitsrisiken bei lokalen KI-Agenten

Die Integration von KI-Assistenten in den lokalen Arbeitsalltag verspricht Effizienz, birgt jedoch bei unzureichender Absicherung erhebliche Risiken für die IT-Sicherheit. Aktuelle Erkenntnisse des Sicherheitsunternehmens Accomplish AI verdeutlichen dies am Beispiel von Claude Cowork für macOS. Die Anwendung, die unter anderem für juristische Teams und Marketingabteilungen vermarktet wird, wies eine kritische Schwachstelle auf, die es Angreifern erlaubte, die für die KI vorgesehene Sandbox zu verlassen.

Funktionsweise des SharedRoot-Exploits

Die als „SharedRoot“ bezeichnete Lücke ermöglichte einen sogenannten Sandbox-Escape. Obwohl Anthropic bei der Entwicklung von Claude Cowork auf Sicherheitsmechanismen wie eine dedizierte virtuelle Maschine (VM), Seccomp-Filter und eine Brokered-Mount-Schicht setzte, erwies sich die Implementierung der Dateisystemfreigabe als Schwachpunkt.

Laut den Berichten von Accomplish AI wurde das Host-Dateisystem im Lese-Schreib-Modus mit der VM geteilt. Angreifer konnten dies ausnutzen, indem sie ein nachgeladenes Linux-Subsystem verwendeten, das eine ungepatchte Sicherheitslücke enthielt. Über diesen Umweg gelang es, Root-Rechte innerhalb der Gast-Umgebung zu erlangen. Von dort aus war es möglich, die Beschränkungen der Sandbox zu umgehen und auf das Dateisystem des macOS-Hosts zuzugreifen. Dies betraf nicht nur die vom Nutzer explizit freigegebenen Ordner, sondern potenziell alle Daten, auf die der jeweilige Benutzer-Account Zugriff hatte, einschließlich sensibler Informationen wie SSH-Schlüssel oder Cloud-Zugangsdaten.

Reaktion von Anthropic und aktuelle Lage

Die Sicherheitsforscher betonten, dass das grundlegende Designkonzept von Anthropic – die Nutzung einer echten VM – eigentlich einen soliden Sicherheitsansatz darstellte. Dennoch führte die spezifische Konfiguration der Dateisystemanbindung zu dem kritischen Fehler.

Anthropic hat auf die Entdeckung reagiert, wenn auch nicht durch einen klassischen Patch der lokalen VM-Struktur. Stattdessen wurde die Architektur des Dienstes angepasst: Claude Cowork nutzt für die Ausführung nun primär die sogenannte Cloud-Execution. Durch diesen Wechsel ist der identifizierte Sandbox-Escape in der Standardkonfiguration nicht mehr anwendbar, da die KI-Aufgaben nicht mehr in der lokalen VM verarbeitet werden.

Empfehlungen für Anwender

Obwohl die Cloud-basierte Ausführung das unmittelbare Risiko minimiert, bleibt die Möglichkeit bestehen, den KI-Agenten weiterhin lokal auszuführen. Experten raten jedoch dazu, von der lokalen Ausführung abzusehen, solange keine expliziten Sicherheitsupdates vorliegen, die das Problem in der lokalen Architektur beheben. Nutzer, die dennoch auf eine lokale Nutzung angewiesen sind, sollten ihre Konfigurationen streng absichern, um potenzielle Angriffsvektoren zu minimieren.

Die Tragweite des Problems verdeutlicht die Schätzung von Accomplish AI, wonach bis zu 500.000 macOS-Nutzer von der Lücke betroffen gewesen sein könnten. Dieser Vorfall unterstreicht die Notwendigkeit, bei der Implementierung von KI-Tools, die tief in das Betriebssystem eingreifen, stets ein kritisches Augenmerk auf die Isolationsmechanismen zwischen KI-Umgebung und Host-System zu legen.