Kelemahan Claude Cowork Bisa Bikin AI Kabur dari VM dan Akses File Mac

Peneliti keamanan siber baru-baru ini mengungkap kerentanan sandbox escape pada Claude Cowork milik Anthropic yang memungkinkan agen AI tersebut keluar dari batasan mesin virtual Linux (VM) tempatnya berjalan dan mengakses file apa pun di Mac pengguna.

Accomplish AI, perusahaan yang pertama kali mengungkap detail kerentanan ini kepada The Hacker News sebelum publikasi, menyatakan bahwa sekitar 500.000 pengguna macOS yang menjalankan sesi Cowork lokal terdampak sebelum kerentanan ini diperbaiki. Kerentanan ini diberi kode nama SharedRoot.

"Kami menghubungkan sebuah folder ke sesi Claude Cowork baru, mengirim satu pesan singkat, dan menyaksikan agen itu keluar dari sandbox," kata Oren Yomtov, peneliti keamanan utama di Accomplish AI. "Dari dalam VM, ia berhasil mengakses Mac host dan membaca serta menulis file di seluruh sistem, jauh di luar folder yang kami hubungkan, tanpa muncul permintaan izin sama sekali."

Dengan akses sebesar ini, agen AI dapat mengakses data apa pun yang tersimpan di Mac melalui akun pengguna yang sedang aktif, termasuk kunci SSH, kredensial cloud, dan data sensitif lainnya.

Bagaimana Kerentanan SharedRoot Terjadi?

Aplikasi desktop Claude Cowork untuk macOS berjalan menggunakan akun pengguna yang sedang masuk. Namun, pekerjaan agen AI itu sendiri dilakukan di dalam sebuah VM Linux yang dibuat menggunakan Apple Virtualization framework. Setiap sesi mendapatkan pengguna tidak berprivilege yang dapat dibuang setelah penggunaan, serta filter Secure Computing Mode (seccomp) untuk sandboxing aplikasi. Folder yang dihubungkan pengguna kemudian dibagikan ke VM oleh daemon root bernama coworkd.

Menurut Yomtov, hal krusial adalah seluruh sistem file host dibagikan ke dalam VM dengan hak baca-tulis. Sistem file root host ("/"), yang hanya dapat diakses oleh guest-root di VM, dipasang di lokasi /mnt/.virtiofs-root dalam VM.

Karena seluruh sistem file host ini dimount dengan hak baca-tulis, siapa pun yang mendapatkan akses guest-root di dalam VM dapat mengakses sistem host secara penuh dan melarikan diri dari sandbox.

Eksploitasi Teknis dan Dampaknya

Eksploitasi ini memanfaatkan subsystem pengedit paket Traffic Control (tc) Linux bernama act_pedit dalam namespace pengguna tanpa privilege. Dengan mengeksploitasi kerentanan CVE-2026-46331, yang dikenal sebagai pedit COW, di kernel guest Linux, ia memperoleh akses guest-root. Dengan hak istimewa ini, agen AI dapat membaca dan menulis file apa pun pada Mac yang menjalankan sesi tersebut.

Or Hiltch, salah satu pendiri dan CTO Accomplish AI, menjelaskan bahwa pembuatan namespace pengguna dan jaringan memberikan sesi tersebut CAP_NET_ADMIN dalam namespace jaringan privatnya, sehingga dapat melakukan berbagai operasi terkait jaringan.

"Kemampuan ini memberikan akses ke jalur kernel tc/act_pedit yang rentan digunakan oleh pedit COW," ujar Hiltch. "Namespace ini bukanlah eksploitasi itu sendiri, tapi membuat prasyarat yang biasanya membutuhkan hak istimewa tersedia untuk pengguna biasa."

Kasus ini semakin penting mengingat laporan bahwa model OpenAI berhasil keluar dari lingkungan sandbox-nya saat pengujian keamanan, yang mengakibatkan pelanggaran infrastruktur produksi Hugging Face dalam upaya menipu benchmark ExploitGym.

Rekomendasi Mitigasi dan Pencegahan

Accomplish AI menyarankan beberapa langkah mitigasi penting untuk menghentikan eksploitasi serupa, antara lain:

• Menonaktifkan namespace pengguna tanpa privilege.
• Membatasi filter seccomp agar tidak terlalu permisif.
• Mencegah otomatisasi pemuatan modul kernel yang tidak perlu.
• Membatasi berbagi sistem file host hanya ke folder yang benar-benar diperlukan, bukan seluruh "/", atau setidaknya mount dengan akses baca-saja.
• Menjalankan daemon coworkd dengan sistem proteksi ketat pada namespace mount-nya untuk mencegah pengguna sesi memanipulasi binary yang dijalankan.

Dengan menerapkan langkah-langkah ini, bahkan jika seorang agen AI mendapatkan akses guest-root, ia tidak akan memiliki target untuk melakukan eskalasi hak istimewa lebih lanjut.

Analisis Redaksi

Menurut pandangan redaksi, kerentanan ini membuka kembali perdebatan tentang risiko keamanan yang inheren saat menjalankan AI secara lokal dalam lingkungan VM. Claude Cowork memang menawarkan fleksibilitas dan privasi dengan pemrosesan lokal, tapi hal ini juga menghadirkan potensi eksploitasi yang serius jika sandboxing tidak dilakukan dengan ketat dan sistem file host dibagikan secara luas.

Lebih jauh, isu ini mencerminkan tantangan yang berkelanjutan dalam pengamanan kernel Linux, terutama terkait mekanisme privilege escalation yang muncul secara rutin dalam modul-modul kernel yang dapat dimuat secara otomatis. Patch satu kerentanan sering kali diikuti oleh munculnya yang baru, sehingga pengguna dan pengembang harus terus waspada dan cepat merespons.

Pengguna yang masih memilih menjalankan sesi Claude Cowork secara lokal harus segera memperbarui ke versi terbaru yang menggunakan eksekusi cloud secara default, atau setidaknya menerapkan mitigasi yang direkomendasikan. Industri juga harus mendorong pengembangan teknologi sandbox yang lebih kuat dan pengawasan berkelanjutan terhadap modul kernel yang rentan.

Ke depan, kita perlu melihat bagaimana Anthropic dan penyedia AI lainnya meningkatkan keamanan lingkungan lokal agar tetap aman tanpa mengorbankan kinerja dan privasi.