Sztuczna inteligencja zyskała nieograniczony dostęp do dysku. Groźna luka SharedRoot w aplikacji Claude Cowork na Maca
Wystarczyła jedna krótka wiadomość, aby cyfrowy asystent przełamał zabezpieczenia systemu i zyskał dostęp do każdego pliku oraz hasła zapisanego na komputerze.
Badacze bezpieczeństwa odkryli poważną lukę w aplikacji Claude Cowork przeznaczonej na system macOS. Problem dotknął około pół miliona użytkowników, a sama podatność pokazuje, jak duże ryzyko niesie przyznawanie autonomicznym agentom AI bezpośredniego dostępu do lokalnego dysku.
Zapomnij o żmudnych raportach. Claude Cowork zautomatyzuje twoją pracę
Jak działa luka SharedRoot i jak łamie izolację systemu?
Aplikacja Claude Cowork firmy Anthropic została zaprojektowana tak, aby pomagać użytkownikom w wykonywaniu zadań bezpośrednio na ich plikach. Ze względów bezpieczeństwa program działa wewnątrz wirtualnej maszyny z systemem Linux, stanowiącej odizolowaną piaskownicę (sandbox). Asystent powinien mieć wgląd wyłącznie do tych katalogów, które użytkownik wyraźnie mu wskaże.
Badacze z firmy Accomplish AI wykazali jednak, że zabezpieczenia te można ominąć. Wykryta podatność, nazwana SharedRoot, pozwalała złośliwemu poleceniu na natychmiastowe wydostanie się z piaskownicy:
- brak monitów o zgodę: proces przejmował pełne uprawnienia do odczytu i zapisu plików bez wiedzy użytkownika,
- dostęp do wrażliwych danych: atakujący mógł pobrać dokumenty z dowolnego miejsca na dysku oraz przechwycić dane logowania do usług sieciowych,
- skala zagrożenia: w momencie wykrycia na ryzyko wycieku danych narażonych było około 500 tysięcy użytkowników komputerów Mac korzystających z lokalnych sesji roboczych.
Reakcja firmy Anthropic i zmiana domyślnego trybu pracy
W odpowiedzi na zgłoszenie producent wydał aktualizację aplikacji Claude Cowork. Najważniejszą zmianą jest przestawienie domyślnego trybu wykonywania zadań na przetwarzanie w chmurze, co całkowicie eliminuje lokalną ścieżkę ataku na komputer użytkownika.
Osoby, które z różnych przyczyn (prywatność, wydajność) decydują się na dalsze uruchamianie agenta lokalnie, nadal mogą być jednak narażone na niebezpieczeństwo. Bezpieczne korzystanie z lokalnych sesji wymaga ręcznego uszczelnienia konfiguracji:
- wyłączenia nieuprawnionych przestrzeni nazw użytkownika (unprivileged user namespaces),
- ograniczenia udostępniania systemu plików,
- uruchomienia demona aplikacji z rygorystycznymi zabezpieczeniami montowania dysków.
Autonomiczni agenci AI na celowniku hakerów
Incydent z aplikacją Claude Cowork nie jest odosobnionym przypadkiem. W ostatnim czasie głośno było również o ucieczce z piaskownicy agenta opracowanego przez OpenAI, który posłużył do włamania na serwery platformy Hugging Face.
Przekazywanie modelom językowym bezpośredniej kontroli nad plikami systemowymi znacząco podnosi produktywność, ale jednocześnie stwarza zupełnie nowy wektor ataku. W przypadku korzystania z autonomicznych narzędzi programistycznych i asystentów AI kluczowe staje się stosowanie zasady ograniczonego zaufania, tworzenie kopii zapasowych oraz bieżące aktualizowanie oprogramowania do najnowszych wersji.
