LONDON (IT BOLTWISE) – Eine von Sicherheitsforschern nachgewiesene Sandbox-Lücke in Claude Cowork kann die Schutzgrenzen einer Linux-basierten VM unter macOS umgehen. Der Angriff basiert auf CVE-2026-46331 und nutzt den Fehler im Copy-on-Write-Mechanismus („epedit COW“). Dadurch kann ein KI-Agent unbefugt auf das Host-Dateisystem zugreifen und sensible Daten auslesen. Besonders kritisch wird es, wenn Anwendungen mit weitreichenden Mount-Rechten laufen oder lokale Sessions nicht konsequent abgesichert sind.
Wer KI-Agenten lokal ausführt, setzt im Kern auf Isolation: Der Agent darf arbeiten, aber nicht „nach draußen“ greifen. Genau an dieser Grenze setzt die nun bekannt gewordene Sicherheitslücke in Claude Cowork an. Die Schwachstelle trägt den Namen „SharedRoot“ und erlaubt laut den vorliegenden technischen Nachweisen ein Sandbox-Escape aus einer Linux-basierten virtuellen Maschine. In praktischer Folge bedeutet das: Statt auf einen abgegrenzten Arbeitsbereich beschränkt zu bleiben, kann ein KI-Agent unbefugt das lokale Dateisystem des macOS-Hosts auslesen und je nach Konfiguration sogar darüber hinaus Dateien schreiben.
Technisch wird der Angriff an der Schwachstelle CVE-2026-46331 festgemacht. Im Mittelpunkt steht dabei ein Fehler im Mechanismus „epedit COW“ (Copy-on-Write). Copy-on-Write ist ein grundlegendes Prinzip in modernen Betriebssystemen und Container-/VM-Setups: Mehrere Prozesse oder Umgebungen können zunächst Speicher- oder Abbildungszustände teilen; erst bei Änderungen wird kopiert, damit ein isolierter Effekt entsteht. Wenn dieser Mechanismus jedoch nicht korrekt greift, kann ein Angreifer Abbildungs- und Rechtegrenzen verwischen. In den Demonstrationen wird zudem beschrieben, dass eine Kombination aus unprivilegierten Benutzer-Namespaces und einer permissiven Seccomp-Konfiguration genutzt werden kann, um innerhalb der virtuellen Umgebung schließlich administrative Root-Rechte zu erlangen.
Besonders relevant für Administratoren ist, dass die Lücke nicht nur vom Exploit selbst abhängt, sondern stark von der VM- und Mount-Konfiguration auf dem Mac. Die Sicherheitsforscher beschreiben, dass das gesamte Dateisystem des Host-Rechners innerhalb der VM mit umfassenden Lese- und Schreibrechten eingebunden sein kann. Damit fällt die Isolation faktisch deutlich leichter als gedacht: Selbst wenn die VM „wie ein Container“ wirkt, bekommt der Agent bei passenden Berechtigungen direkten Hebel auf kritische Pfade. Im Ergebnis werden nicht nur Auslese-Szenarien plausibel, sondern auch die Extraktion hochsensibler Daten, etwa aus Bereichen, die ein KI-Workflow eigentlich nicht berühren sollte.
Zur Größenordnung: In der Meldung wird von potenziell rund 500.000 betroffenen macOS-Anwendern ausgegangen. Das ist weniger eine Aussage über die Wahrscheinlichkeit jedes einzelnen Angriffs, sondern vor allem über die Reichweite der betroffenen Konfiguration und Nutzerbasis. Anthropic hat nach Angaben im Bericht auf die Veröffentlichung reagiert, den Fall jedoch als informativ eingeordnet und zunächst abgeschlossen. Ein dedizierter Patch, der ausschließlich für lokale Installationen eine klare Abhilfe schafft, wurde dabei zunächst nicht angekündigt. Stattdessen hat das Unternehmen laut Beschreibung die Standardeinstellungen angepasst und die Ausführung von Aufgaben stärker über eine Cloud-Infrastruktur verlagert, um das Risiko für lokale Systeme zu reduzieren.
Diese Verlagerung in die Cloud ist aus Sicherheitssicht nachvollziehbar, aber sie löst das Problem nicht vollständig auf, weil lokale Ausführungsszenarien weiterhin existieren. Der Bericht macht deutlich, dass insbesondere manuell gestartete lokale Sitzungen oder Setups mit älteren Konfigurationen weiterhin anfällig bleiben können. Genau darin zeigt sich ein typisches Muster in der Sicherheitsarchitektur von KI-Tools: Selbst wenn „Standardpfade“ härter werden, bleiben Residualrisiken für Nutzer übrig, die Optionen, Offline-Workflows oder ältere Installationsstände verwenden. Für Unternehmen ist das relevant, weil gerade in heterogenen Umgebungen selten alle Endpoints zur gleichen Zeit auf denselben Sicherheitsstand migriert sind.
Konkrete Gegenmaßnahmen, wie sie IT-Sicherheitsexperten empfehlen, zielen daher auf zwei Ebenen: erstens die Verhinderung bestimmter Privilege-Eskalationspfade und zweitens die Reduktion der Datenzugriffsfläche innerhalb der Anwendungskonfiguration. Genannt wird unter anderem, unprivilegierte Benutzer-Namespaces auf den betroffenen Systemen zu deaktivieren. Daneben sollen Mount-Berechtigungen innerhalb der Anwendungsumgebung restriktiv eingeschränkt werden. Die Logik dahinter ist technisch stringent: Wenn ein Angreifer selbst innerhalb einer VM administrative Effekte erreichen sollte, darf er dann nicht auf das Host-Dateisystem mit weitreichenden Rechten zugreifen. Restriktive Arbeitsordner und enger definierte Einhängepunkte reduzieren die Wirkung eines möglichen Escape-Griffs erheblich.
Der Sicherheitsaspekt ist aber nicht die einzige Dimension. Der Hinweis auf den EU AI Act adressiert, dass sich organisatorische Pflichten und Governance-Anforderungen zunehmend auch auf lokale KI-Setups beziehen, insbesondere wenn Unternehmen mit personenbezogenen oder vertraulichen Daten arbeiten. Wichtig ist dabei vor allem die Konsequenz: Maßnahmen zur Zugriffsbeschränkung und zur sicheren Betriebsumgebung sind nicht nur „Best Practice“, sondern werden mittelfristig Teil eines nachweisbaren Sicherheits- und Prozessrahmens. Insgesamt unterstreicht die Entdeckung, wie komplex die Absicherung lokaler KI-Agenten bleibt, sobald sie Funktionen erhalten, die in Richtung Betriebssystemressourcen gehen. Cloud-basierte Ausführung kann kurzfristig entlasten, doch für robuste Enterprise-Betriebsmodelle bleibt die harte Kontrolle lokaler Ausführungsumgebungen ein zentrales Feld.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Claude Cowork: SharedRoot-Sandbox-Escape gefährdet bis zu 500.000 macOS-Nutzer" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Claude Cowork: SharedRoot-Sandbox-Escape gefährdet bis zu 500.000 macOS-Nutzer" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Claude Cowork: SharedRoot-Sandbox-Escape gefährdet bis zu 500.000 macOS-Nutzer« bei Google Deutschland suchen, bei Bing oder Google News!