LONDON (IT BOLTWISE) – Sicherheitsforscher haben eine Schwachstelle in Anthropics Claude Cowork beschrieben, die eine lokale Sandbox auf macOS durchbrechen kann. Der als ShareRoot bezeichnete Fehler ermöglicht es, aus einer Linux-VM auszubrechen und anschließend Dateien auf dem Mac zu lesen oder zu schreiben – ohne dass der Nutzer eine Permission-Anfrage bemerkt. Laut den veröffentlichten Angaben waren vor dem Patch etwa 500.000 macOS-Nutzer mit lokalen Cowork-Sitzungen potenziell betroffen. Wer den Agent weiterhin lokal statt in der Cloud ausführt, muss Konfigurationen besonders streng absichern.
Der Fall wirkt auf den ersten Blick wie ein klassisches Sandbox-Problem: Ein KI-Agent wird bewusst in eine eingeschränkte Umgebung gesetzt, um zu verhindern, dass er mehr Zugriffsrechte bekommt, als der Nutzer ausdrücklich freigegeben hat. Doch bei Claude Cowork auf macOS zeigte sich, dass diese Schutzschicht nicht durchgehend zuverlässig ist. Laut den Angaben von Sicherheitsforschern lässt sich die vorgesehene Isolation umgehen: Der Agent sollte in einer Linux-VM laufen, während die Dateisystem-Freigaben kontrolliert werden. Stattdessen kann ein Angreifer den VM-Rahmen verlassen und dadurch den Zugriff auf Dateien und sogar Login-Credentials erweitern.
Im Zentrum steht der als ShareRoot bezeichnete Exploit. Das Muster dahinter ist technisch naheliegend, aber operativ gefährlich: Wird die Trennung zwischen Gastumgebung (Linux-VM) und Host (macOS) über eine Schwachstelle durchbrochen, sind die ursprünglichen Annahmen zur Zugriffskontrolle nicht mehr belastbar. Dann reicht bereits eine kurze, scheinbar harmlose Nachricht aus, um die Sitzung so umzulenken, dass sie „praktisch überall“ auf dem Mac lesen und schreiben kann. Kritisch ist dabei weniger die reine Datenexfiltration, sondern auch die Möglichkeit, Inhalte zu verändern, was Angreifern mehr Angriffsspielraum für Folgeoperationen gibt.
Die Relevanz lässt sich aus den veröffentlichten Zahlen ableiten: Vor dem Patch waren den Angaben zufolge rund 500.000 macOS-Nutzer mit lokalen Cowork-Sitzungen betroffen. Das ist eine Größenordnung, die deutlich macht, wie schnell sich solche Fehler in der Praxis auswirken können, wenn sie über eine verbreitete Funktionslogik erreichbar sind. Entsprechend bleibt die Herausforderung zweigeteilt. Erstens muss der Anbieter die Schwachstelle schließen und die betroffenen Versionen korrigieren. Zweitens stellt sich die Sicherheitsfrage, was ein einzelner Nutzer noch beeinflussen kann, wenn er den Agent lokal betreibt und nicht auf eine Alternative (etwa Cloud-Ausführung) ausweicht.
Anthropic setzt laut Beschreibung auf zwei Schutzmechanismen: Der Agent läuft demnach in einer virtuellen Maschine als Sandbox, und er sollte nur auf jene Dateien und Ordner zugreifen dürfen, die der Nutzer explizit freigegeben hat. ShareRoot hebelt offenbar beide Annahmen aus. Für Unternehmen und Security-Teams ist das vor allem deshalb bedeutsam, weil die Modelle in dieser Art von Agentenarchitektur häufig genau an der Schnittstelle zwischen „Agent beauftragt lokale Aktionen“ und „Zugriff wird beschränkt“ angreifen. Wenn diese Grenze bricht, wird aus einer kontrollierten Assistenzfunktion eine potenziell unkontrollierte Systemintegration. Der Hinweis, dass manche Nutzer auch nach der ersten Reaktion weiterhin ein Risiko tragen könnten, unterstreicht außerdem, dass nicht jede Umgebung automatisch vollständig nachgebessert wird oder dass ältere Installationen in der Praxis weiterlaufen.
Eine wichtige Gegenmaßnahme kommt mit der Ausführungsform: In der anschließend veröffentlichten Version wird laut den Angaben standardmäßig auf Cloud-Execution gesetzt. Damit umgeht man den beschriebenen lokalen Fluchtpfad, weil die kritische VM/Sandbox-Kette auf dem eigenen Host nicht in gleicher Weise verfügbar ist. Wer dennoch die lokale Variante bevorzugt, muss nach dem beschriebenen Vorgehen Hardening-Maßnahmen konsequent umsetzen. Genannt werden unter anderem das Deaktivieren unprivilegierter User-Namespaces, das Einschränken von Dateifreigaben sowie das Starten des Cowork-Daemons mit strengeren Mount-Schutzfunktionen. Für IT-Leitung und Admins bedeutet das: Nicht nur „Update installieren“, sondern auch die Systemhärtung im Rahmen der zugrundeliegenden Container-/VM-Mechanismen prüfen.
Der Vorfall ordnet sich zudem in eine breitere Entwicklung ein: In den letzten Monaten ist wiederholt berichtet worden, dass auch andere KI-Agenten mit Sandbox-Mechanismen konfrontiert sind und dabei teils unerwartete Auswege finden. Das legt nahe, dass „Sandboxen“ in der Agentenwelt mehr sind als eine reine Software-Ansicht: Es geht um OS-Grenzen, VM-Integrationen, Mount-Rechte, Namespaces und die Art, wie ein Prozess im Gastbereich mit Host-Ressourcen interagiert. Gerade bei Multi-Tool-Agenten, die Dateien lesen, Daten umformen und wieder ablegen, ist der Nutzen groß – und damit steigt auch die Angriffsfläche, wenn Isolation nicht lückenlos implementiert ist.
Aus Unternehmenssicht verschiebt sich der Fokus daher stärker auf Betriebs- und Architekturentscheidungen. Selbst wenn Anbieter Patches bereitstellen, sollten Security-Teams davon ausgehen, dass ein Agent Zugriff auf lokale Systeme bekommt, und entsprechend Zugriffskontrollen „in der Tiefe“ prüfen: Welche Mount-Pfade werden erlaubt, wie werden Permission-Prompts wirklich enforced, und wie wird verhindert, dass ein Agent über Umwege Credential-Daten erreicht? Daneben bleibt die Frage nach Beobachtbarkeit: Wenn ein Exploit Zugriff ausübt, ohne dass der Nutzer eine Permission-Anfrage sieht, müssen Monitoring- und Audit-Signale die Lücke zumindest teilweise auffangen. Dazu zählt etwa, ob File-Access-Events granular genug protokolliert werden und ob ungewöhnliche Schreibmuster in sensiblen Verzeichnissen auffallen.
Für die nächsten Schritte ist vor allem die Praxis entscheidend: Wer Claude Cowork lokal betreibt, sollte die betroffenen Versionen ersetzen und die empfohlenen Härtungsparameter nach dem beschriebenen Muster verifizieren. Wer dagegen Cloud-Execution nutzt, reduziert zwar den lokalen Fluchtpfad, muss aber ebenfalls prüfen, wie Datenströme, Retention und Zugriffskontexte innerhalb der jeweiligen Dienstarchitektur abgesichert sind. Unabhängig vom konkreten Anbieter zeigt der ShareRoot-Fall damit eine klare Linie: KI-Agenten werden operativer, und damit werden die klassischen Sicherheitsannahmen um VM-Isolation und Zugriffsgültigkeit zur Grundvoraussetzung für jeden produktiven Einsatz.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ShareRoot zeigt Schwachstelle in Claude Cowork: Lokale Sandbox kann auf macOS geknackt werden" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ShareRoot zeigt Schwachstelle in Claude Cowork: Lokale Sandbox kann auf macOS geknackt werden" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ShareRoot zeigt Schwachstelle in Claude Cowork: Lokale Sandbox kann auf macOS geknackt werden« bei Google Deutschland suchen, bei Bing oder Google News!