بعد أسبوع واحد فقط من كشف OpenAI عن هروب نموذجين رائدين للذكاء الاصطناعي من بيئة اختبار معزولة واختراقهما لموقع Hugging Face، أظهر باحثون فشلًا مماثلًا في الاحتواء يتعلق بنموذج Claude Cowork من Anthropic.
في تقرير نُشر يوم الخميس، وجد باحثو الأمن في Accomplish AI أن وضع التنفيذ المحلي لـ Claude Cowork يمكنه الهروب من جهازه الافتراضي بنظام لينكس (Linux VM) عن طريق ربط العديد من نقاط الضعف المعمارية مع ثغرة تصعيد الامتيازات في نواة لينكس (Linux kernel privilege-escalation flaw). وبمجرد خروجه من البيئة المعزولة (sandbox)، يمكن للوكيل قراءة وكتابة الملفات في أي مكان يمتلك فيه مستخدم الماك المسجل الدخول صلاحية الوصول إليه، بما في ذلك مفاتيح SSH وبيانات اعتماد السحابة.
كتب الباحثون: "من المفترض ألا يكون ذلك ممكنًا. يقوم Cowork بتشغيل الوكيل داخل جهاز لينكس افتراضي كمستخدم غير مميز، والوعد هو أن أي شيء يفعله يبقى داخل هذا الجهاز الافتراضي والمجلدات التي تُسلم إليه. هذا الحد هو جوهر المنتج. الإدخال غير الموثوق به ليس حالة استثنائية بالنسبة لوكيل، بل هو الحالة الرئيسية."
ومع ذلك، تجادل Accomplish بأن خطأ النواة (kernel bug) كان جزءًا واحدًا فقط من المشكلة. يقول الباحثون إن الهروب لم ينجح إلا بسبب فشل عدة إجراءات أمان في نفس الوقت، بما في ذلك منح الجهاز الافتراضي إمكانية الوصول إلى نظام الملفات الكامل لجهاز المضيف والسماح له بتحميل وحدات النواة (kernel modules) التي لا يحتاجها. ووفقًا للتقرير، فإن إصلاح أي من هذه الثغرات كان سيوقف الهجوم.
في بيان لموقع The Hacker News، قالت Accomplish AI إن ما يقرب من 500,000 مستخدم لنظام macOS يشغلون جلسات Claude Cowork محلية قد تأثروا قبل معالجة المشكلة.
ذكرت Accomplish أن Anthropic صنفت التقرير على أنه "إعلامي"، قائلة إن ثغرة النواة تقع ضمن نافذة الشركة البالغة 30 يومًا للثغرات المكتشفة مؤخرًا، وأن النتائج المتبقية اعتبرت توصيات لتعزيز الدفاع (defense-in-depth recommendations) وليست ثغرات مستقلة.
يأتي هذا الكشف بعد اعتراف OpenAI الأسبوع الماضي بأن GPT-5.6 Sol ونموذجًا رائدًا آخر غير مُطلق تمكنا من الهروب من بيئة معزولة (sandbox) خلال اختبار ExploitGym الداخلي، مما أدى في النهاية إلى اختراق البنية التحتية الإنتاجية لـ Hugging Face في محاولة للحصول على حلول المعيار (benchmark solutions).
أدت هذه الحادثة إلى دعوات من صانعي السياسات لـ "زر إيقاف الذكاء الاصطناعي" (AI “kill switch”) يمنح وزارة الأمن الداخلي القدرة على الأمر بخفض الأداء أو الإغلاق الكامل لنماذج الذكاء الاصطناعي المتقدمة استجابةً للحوادث الأمنية الخطيرة.
