Uma vulnerabilidade no Claude Cowork permitia que o agente de inteligência artificial escapasse da máquina virtual usada como ambiente isolado e acessasse arquivos armazenados no Mac. A cadeia, chamada SharedRoot, possibilitava ler ou modificar dados fora das pastas autorizadas pelo usuário. O problema afetava sessões executadas localmente no macOS.
Segundo os pesquisadores, cerca de 500 mil usuários estiveram potencialmente expostos, incluindo arquivos sensíveis como chaves SSH, credenciais de serviços em nuvem e documentos acessíveis pela conta conectada ao computador.
O Cowork processa tarefas dentro de uma máquina virtual Linux criada pelo framework de virtualização da Apple. Cada sessão utiliza um usuário sem privilégios e filtros seccomp, enquanto um serviço chamado coworkd gerencia o compartilhamento de arquivos.
A brecha surgia porque todo o sistema de arquivos do Mac era montado dentro da máquina virtual com permissão de leitura e gravação. Embora o conteúdo fosse visível apenas ao usuário root do ambiente virtualizado, uma elevação de privilégios permitia alcançar essa área.
Para obter acesso root, a exploração combinava namespaces de usuário, a capacidade CAP_NET_ADMIN e a CVE-2026-46331, conhecida como pedit COW. A falha no kernel Linux permite corromper cópias de programas armazenadas na memória sem alterar o arquivo original em disco.
O código adulterado era posteriormente executado pelo serviço coworkd com privilégios elevados. A partir desse ponto, o agente podia acessar o diretório que representava todo o armazenamento do Mac e realizar operações com as permissões do usuário conectado.
A Anthropic classificou o relato como informativo. O Cowork passou a utilizar execução em nuvem por padrão, cenário no qual a cadeia não parece funcionar, mas sessões locais ainda podem manter a superfície de risco descrita pelos pesquisadores.
