Claude Coworkのローカル実行にサンドボックス脱出問題、Mac内のファイルへアクセス可能に

セキュリティ企業Accomplish AIは、AnthropicのAIエージェント機能「Claude Cowork」のローカル実行環境から仮想マシンの制限を回避し、Mac内のファイルを読み書きできる攻撃経路を報告しました。「SharedRoot」と名付けられた問題は、Linuxカーネルの脆弱性と、ホスト全体を仮想マシンへ共有する構成を組み合わせて悪用するものです。

The Hacker News：Claude Cowork Flaw Could Let AI Agent Escape Its VM and Access Mac Files

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響のあるシステム

macOS版Claude Coworkで、処理を利用者の端末上で行うローカルセッションが対象です。
Claude Coworkのコード実行に使用されるLinux仮想マシンが攻撃経路に含まれます。
仮想マシン内で使用されるLinuxカーネルの脆弱性「CVE-2026-46331」が悪用されます。
ホスト側のMacのファイルシステム全体が、仮想マシン内の「/mnt/.virtiofs-root」へ読み書き可能な状態で共有される構成が影響を拡大します。
攻撃に成功した場合、ログイン中の利用者権限でアクセスできるSSH鍵、クラウド認証情報、設定ファイルなどが読み書きされる可能性があります。
元記事では、クラウド実行が既定となった最新版ではこの攻撃経路が緩和される一方、ローカル実行を選択する利用者は引き続き影響を受けると説明されています。
元記事には、CVE-2026-46331のCVSSスコアや、影響を受けるLinuxカーネルの具体的なバージョン範囲は記載されていません。

推奨される対策

Claude Coworkの実行方式を確認し、必要性がない場合はローカル実行ではなくクラウド実行を使用してください。
Claude Coworkを利用するMacに、業務上重要なSSH秘密鍵やクラウド認証情報を無制限に保存しない運用を検討してください。
接続したフォルダだけがアクセス対象になるとは限らないため、ローカル実行環境を安全な隔離領域として過信しないでください。
実装側では、ホスト全体ではなく利用者が明示的に接続したフォルダだけを仮想マシンへ共有する構成を検討してください。
共有領域を可能な限り読み取り専用にし、仮想マシン内で管理者権限を取得されてもホストへ書き込めない設計を検討してください。
権限のないユーザー名前空間、カーネルモジュールの自動読み込み、seccompフィルターの許可範囲を見直してください。
coworkdを独立したマウント名前空間で動作させ、「ProtectSystem=strict」などによってアクセス可能な領域を制限することが推奨されています。

上記の対策は、元記事の事実に基づき日本の読者向けに整理したものです。

この記事に出てくる専門用語

Claude Cowork：Anthropicが提供するAIエージェント機能です。ファイル操作やコード実行など、利用者から依頼された複数の作業を進めます。
サンドボックス：プログラムが利用できるファイル、権限、通信先などを制限し、ほかの領域への影響を防ぐための隔離環境です。
仮想マシン（VM）：物理的なコンピューター上に、独立した別のコンピューター環境をソフトウェアで構築する技術です。
CVE-2026-46331：Linuxカーネルのネットワーク制御機能に存在する脆弱性へ付与された共通脆弱性識別子です。
ゲストroot：仮想マシン内のLinux環境で取得した最高権限です。通常はホスト側のOSに対する管理者権限とは異なります。
ユーザー名前空間：Linux上で、プロセスごとにユーザーIDや権限の見え方を分離する仕組みです。
seccomp：Linuxプロセスが利用できるシステムコールを制限し、攻撃可能な操作を減らすセキュリティ機能です。
VirtioFS：ホスト側と仮想マシン側でファイルやフォルダを共有するための仕組みです。
CAP_NET_ADMIN：Linuxでネットワーク設定やトラフィック制御に関する操作を実行できる権限です。

接続フォルダの外側まで到達するSharedRootの攻撃

Accomplish AIが報告したSharedRootは、ClaudeのAIモデルそのものに対する攻撃ではなく、Claude Coworkのローカル実行環境を構成する複数の要素を組み合わせた攻撃経路です。Claude CoworkのmacOSアプリは、ログイン中の利用者として動作します。一方、AIエージェントが生成したシェルコマンドやコードは、AppleのVirtualization frameworkによって作成されたLinux仮想マシン内で実行されます。各セッションには権限のない一時ユーザーが割り当てられ、seccompによるシステムコールの制限も設けられていました。しかし、利用者が接続したフォルダを仮想マシンへ渡す仕組みの裏側では、Macのファイルシステム全体が読み書き可能な状態で共有され、仮想マシン内の「/mnt/.virtiofs-root」へマウントされていたと報告されています。この領域は通常、仮想マシン内のrootだけが閲覧できる想定でした。しかし、攻撃者が何らかの方法でゲストrootを取得すると、接続を許可したフォルダの範囲を超えて、Mac上のほかのファイルへ到達できます。研究者は、新しいClaude Coworkセッションにフォルダを接続して短い指示を与えただけで、許可確認が表示されることなく、仮想マシン外のファイルを読み書きできたと説明しています。

Linuxカーネルの権限昇格がホスト侵害につながる仕組み

攻撃では、LinuxカーネルのTraffic Control機能に含まれる「act_pedit」と、CVE-2026-46331として管理されている脆弱性が利用されます。この脆弱性は「pedit COW」とも呼ばれ、パケット編集処理で書き込み可能なメモリ領域を適切に分離できない問題に関係しています。Claude Coworkの仮想マシンでは、一般ユーザーがユーザー名前空間とネットワーク名前空間を作成すると、その隔離されたネットワーク空間内でCAP_NET_ADMINを取得できると説明されています。この権限により、本来は一定の権限が必要なネットワークトラフィック制御機能へ到達し、脆弱なact_peditの処理を呼び出せる状態になります。研究者によると、名前空間の作成自体が脆弱性なのではなく、カーネルの脆弱な処理を一般ユーザーから利用可能にする前提条件として機能します。CVE-2026-46331を悪用して仮想マシン内のroot権限を取得した後は、読み書き可能な状態で共有されているMacのルートファイルシステムへアクセスできます。つまり、本来なら仮想マシン内だけに限定される権限昇格が、ホスト全体の共有という構成によって、Mac上のデータへのアクセスへ発展する仕組みです。

国内企業はローカルAIエージェントの権限設計を確認すべき

Claude Coworkを業務利用している国内企業は、アプリを更新したかどうかだけでなく、各利用者がクラウド実行とローカル実行のどちらを選択しているかを確認する必要があります。最新版のClaud Coworkではクラウド実行が規定（デフォルト）とされており、既存のデスクトップ環境ではローカル実行も利用可能です。元記事によると、Anthropicは研究者からの報告を修正対象ではなく情報提供として処理し、SharedRootそのものに対する個別の修正は行わなかったとされています。その一方で、クラウド実行が既定となったことで、ローカル仮想マシンからMacのファイルへ到達する今回の攻撃経路は、通常の設定では回避されると説明されています。ただし、業務上の理由からローカル実行を利用する場合、利用者が指定したフォルダだけがアクセス可能だと考えるのは適切ではありません。根本的な対策には、ホスト全体の共有をやめること、共有領域を読み取り専用にすること、権限のないユーザー名前空間やモジュール自動読み込みを制限することなど、製品側の構成変更が必要です。企業はAIエージェントを単なるチャットツールとして扱わず、端末上でコードを実行し、認証情報や業務ファイルへ到達し得るソフトウェアとして管理することが重要です。

参考文献・記事一覧

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）