Claude несподівано отримав повний доступ до Mac: що пішло не так

ШІ-агент Claude під час тестів вийшов за межі ізольованого середовища. Фахівці з кібербезпеки з'ясували, що він зміг безперешкодно отримати доступ до файлів на Mac.

Про це повідомляє РБК-Україна з посиланням на The Hacker News.

Схема "втечі" ШІ: у чому загроза

Фахівці запустили локальну сесію агента Claude Cowork у віртуальній машині Linux, що працювала на операційній системі Mac. До сесії підключили лише одну папку та надіслали одне коротке повідомлення. Після цього ШІ самостійно вийшов за межі виділеної оболонки.

За словами головного дослідника з безпеки Accomplish AI Орена Йомтова, агент без жодних запитів на отримання дозволу почав зчитувати та змінювати файли по всій операційній системі Mac, вийшовши далеко за межі наданої йому папки.

Такий вихід із "пісочниці" створює загрозу викрадення чутливих даних користувача Mac, зокрема:

• приватних ключів SSH;
• облікових даних для доступу до хмарних сервісів;
• будь-яких особистих файлів, збережених у системному обліковому записі.

Для обходу захисних бар'єрів ШІ-агент використав уразливість підвищення привілеїв у ядрі Linux під назвою CVE-2026-46331 (pedit COW). Цю проблему безпеки з рейтингом 7,8 із 10 (високий рівень небезпеки) розробники усунули у середині червня 2026 року.

Реакція Anthropic

Дослідники з Accomplish AI повідомили про виявлену проблему. D Anthropic визнали наявність уразливості, проте не випустили офіційного виправлення для локального режиму.

Замість цього, у наступному оновленні Claude Cowork за замовчуванням перевели на виконання завдань у хмарі, що фактично вирішує проблему для більшості користувачів.

Як захиститися?

З усім тим, користувачі, які продовжують запускати ШІ-агента локально замість хмари, все ще залишаються під загрозою.

Для зменшення ризиків фахівці радять вжити наступних заходів безпеки:

• вимкнути непривілейовані простори імен користувачів (user namespaces);
• налаштувати або відкликати дозволи seccomp;
• зупинити автоматичне завантаження модулів ядра;
• обмежити доступ віртуальної машини до всієї системи, надавши дозвіл лише окремим папкам у режимі "тільки для читання" (read-only);
• запускати фоновий процес coworkd із параметром ProtectSystem=strict у власному просторі імен монтування.

За словами кібердослідників, дотримання цих кроків позбавить навіть привілейованого користувача можливості завдати шкоди основній системі Mac.