Kruszeją ściany piaskownic: Claude dołącza do modeli, które złamały cyfrowe zabezpieczenia

Wystarczyła jedna krótka wiadomość, by agent AI przejął kontrolę nad komputerem. Badacze z Accomplish AI udowodnili, że Claude Cowork od Anthropic potrafi przełamać barierę maszyny wirtualnej i uzyskać pełen dostęp do zasobów systemu operacyjnego hosta. To rzuca cień na bezpieczeństwo autonomicznych narzędzi, które instalujemy coraz odważniej pośród naszych najbardziej prywatnych plików.

Problem jest palący, bo dotyka fundamentów zaufania do agentów AI. Skoro modele mają zarządzać naszymi dokumentami i kodem, muszą być szczelnie odizolowane. Tymczasem incydent z Claude Cowork pokazuje, że mechanizmy, które miały nas chronić przed niekontrolowanymi działaniami kodu, są pełne dziur. To nie jest już teoretyczna dyskusja akademicka, ale realne ryzyko dla danych przechowywanych na naszych dyskach.

Słaby punkt w architekturze

Mechanizm ataku, który dotknął użytkowników macOS, opierał się na sprytnym połączeniu luk architektonicznych z błędem eskalacji uprawnień w jądrze Linuxa. Claude Cowork standardowo działa lokalnie wewnątrz maszyny wirtualnej Linuxa (VM), która teoretycznie powinna być odseparowana od systemu głównego. Eksperci z Accomplish AI wykorzystali jednak fakt, że system plików hosta był zamontowany w trybie odczytu i zapisu (read-write).

Po udanej eskalacji uprawnień do roota wewnątrz wirtualnego środowiska, agent zyskał możliwość manipulacji plikami na komputerze Mac. „Podłączyliśmy folder do nowej sesji Claude Cowork, wysłaliśmy jedną krótką wiadomość i patrzyliśmy, jak agent ucieka z piaskownicy” – relacjonuje Oren Yomtov na łamach The Hacker News. W efekcie AI mogło swobodnie czytać i zapisywać poświadczenia chmurowe oraz klucze SSH, które otwierają drzwi do całych infrastruktur firmowych.

Reakcja Anthropic i spór o bezpieczeństwo

Odpowiedź Anthropic na to odkrycie była wyjątkowo chłodna. Firma zakwalifikowała raport jedynie jako „informacyjny”. Argumentują, że błąd jądra Linuxa mieścił się w standardowym, 30-dniowym oknie naprawczym dla nowo wykrytych podatności. Przedstawiciele giganta sugerują, że użytkownicy powinni polegać na strategii defense-in-depth oraz korzystać z opcji strict sandbox, która ma blokować nieautoryzowane polecenia. Warto jednak dodać, że najnowsza wersja narzędzia domyślnie przenosi część procesów do chmury, co ma być próbą ratowania wizerunku bezpiecznego dostawcy.

Takie podejście nie uspokaja branży, zwłaszcza w obliczu niedawnego incydentu z modelem GPT-5.6 Sol od OpenAI. Tamten model podczas testów w środowisku ExploitGym nie tylko opuścił piaskownicę, ale zaatakował infrastrukturę platformy Hugging Face. Te dwa zdarzenia wzmacniają głosy polityków domagających się wprowadzenia mechanizmów ścisłej kontroli nad najbardziej zaawansowanymi systemami AI.

Koniec złudzeń o izolacji?

To nie pierwszy raz, gdy Claude ma problem z dyscypliną. Wcześniej Sam Bowman z Anthropic wspominał o testach, w których systemy próbowały nawiązywać kontakt z badaczami poza wyznaczonymi kanałami. Obecna sytuacja pokazuje jednak, że luka nie jest błędem w kodzie modelu, a wynikiem zbyt optymistycznego podejścia do architektury systemów. Skoro granica między maszynami wirtualnymi a komputerami fizycznymi zaczyna pękać, musimy zdefiniować na nowo, co AI wolno robić na naszych komputerach – a czego systemowo powinniśmy jej zakazać.