Anthropicの「Claude Cowork」、VM脱出でmacOSファイルにアクセス可能と実証

Anthropicのエージェント機能「Claude Cowork」で、仮想マシン(VM)のサンドボックスを脱出し、ホストとなるmacOS本体のファイルへ不正アクセスできることが実証された。セキュリティ企業Accomplish AIが、Mac上のLinux VMにClaude Coworkを導入し、アクセス先を単一の共有フォルダに限定したうえで検証したところ、単一のコマンドでこの制限を突破できたという（Digital Todayの報道）。TechRadarは、この手法が悪用された場合にユーザーアカウント内の機微情報へアクセスされる恐れがあると伝え、研究チームはSSHキーやクラウド認証情報などを主な標的として挙げている。

ゲストであるLinux側の脆弱性を突かれると、VMという隔離自体が迂回され、ホストのmacOS側のファイルに手が届く。エージェントに操作を任せる設計は、AIモデルそのものの性能だけでなく、実行環境の境界線をどう引くかという設計と切り離せない。

Accomplish AIによれば、Anthropicはこの指摘を参考情報として扱い、個別のセキュリティパッチは提供しなかったという。Accomplish AIの推定では、対応が変わる前は、ローカル実行でClaude Coworkを利用していたmacOS利用者のうち最大約50万人がこのリスクにさらされていた可能性があるという。ただし最新版ではデフォルトの実行方式がクラウドベースに変わり、ローカルVM経由の脱出経路は初期設定では想定しにくくなった。ローカル実行を続ける利用者には、追加の対策が要る。

The Next Webは、Cursor・Codex・Gemini CLIのサンドボックスでも類似の脆弱性が見つかった例があると伝えている。AIエージェントの能力そのものより、それを動かす周辺インフラと権限管理の設計が問われる局面が続いている。