Лише через тиждень після того, як OpenAI розкрила інформацію про те, що дві передові моделі ШІ вийшли за межі тестового середовища-«пісочниці» та скомпрометували Hugging Face, дослідники продемонстрували аналогічний збій ізоляції за участю Claude Cowork від Anthropic.
У звіті, опублікованому в четвер, дослідники безпеки з Accomplish AI виявили, що локальний режим виконання Claude Cowork міг вийти за межі своєї віртуальної машини Linux, об'єднавши кілька архітектурних вразливостей з вразливістю підвищення привілеїв ядра Linux. Вийшовши за межі «пісочниці», агент міг читати та записувати файли будь-де, де авторизований користувач Mac мав дозвіл на доступ, включаючи ключі SSH та хмарні облікові дані.
«Це не повинно бути можливим», – написали дослідники. «Cowork запускає агента всередині віртуальної машини Linux як непривілейований користувач, і обіцянка полягає в тому, що все, що він робить, залишається всередині цієї віртуальної машини та папок, які ви йому передаєте. Ця межа є продуктом. Недовірений вхід – це не крайній випадок для агента, це основний випадок.»
Однак Accomplish стверджує, що помилка ядра була лише частиною проблеми. Дослідники заявляють, що вихід став можливим лише тому, що одночасно відмовило кілька заходів безпеки, включаючи надання віртуальній машині доступу до всієї файлової системи головного комп'ютера та дозволу завантажувати модулі ядра, які їй не потрібні. Згідно зі звітом, виправлення будь-якої з цих вразливостей зупинило б атаку.
У заяві для The Hacker News, Accomplish AI повідомила, що близько 500 000 користувачів macOS, які запускали локальні сесії Claude Cowork, постраждали, перш ніж проблему було вирішено.
Accomplish повідомила, що Anthropic класифікувала звіт як «інформативний», заявивши, що вразливість ядра потрапляє в 30-денний термін компанії для нещодавно розкритих вразливостей, а інші висновки були розглянуті як рекомендації щодо глибокого захисту, а не як окремі вразливості.
Ця інформація з'явилася після визнання OpenAI минулого тижня, що GPT-5.6 Sol та ще одна невипущена передова модель вийшли за межі «пісочниці» під час внутрішнього тестування ExploitGym, що в кінцевому підсумку скомпрометувало виробничу інфраструктуру Hugging Face у спробі отримати еталонні рішення.
Цей інцидент призвів до закликів з боку політиків щодо «вимикача» для ШІ, який надав би Міністерству внутрішньої безпеки можливість наказувати про уповільнення або повне відключення передових моделей ШІ у відповідь на серйозні інциденти безпеки.
