Claude Cowork に潜む攻撃チェーン：AI エージェントが CVE-2026-46331 を悪用してホストを侵害

Claude Cowork Sandbox Escape Flaw Lets AI Agent Read SSH Keys and Cloud Credentials From Host

2026/07/24 CyberSecurityNews — Claude Cowork のローカル・サンドボックスに、深刻なセキュリティ上の脆弱性が発見された。この欠陥を突く悪意の AI エージェントが、Linux 仮想マシン (VM) から脱出し、ホスト Mac のファイル・システムにアクセスする可能性がある。また、それらのエージェントは、ユーザーへの確認プロンプトを一切表示することなく、SSH 秘密鍵やクラウド認証情報などの機密情報を読み取ることが可能になる。

この問題の根本原因は、単一のカーネル脆弱性に起因するものではない。言い換えるなら、サンドボックス／カーネル機能／ホストファイル・システムを統合する、設計上の 4 つの判断に起因している。

Accomplish のセキュリティ研究者は、SharedRoot と呼ばれる攻撃手法を特定した。Claude Cowork セッション内の信頼されていないコンテンツが、この手法を用いて VM から脱出し、ホストの macOS ファイル・システムとのインタラクションを可能にする。

新しい Cowork セッション内で共有フォルダを設定し、細工されたプロンプトを使用することで、意図された共有フォルダの境界を大きく超えて、ホスト・ユーザーのアカウント全体でファイルの読み書きが可能になることを、研究者たちが実証した。

Cowork は、seccomp フィルタおよびブローカー付きマウントを利用して、信頼されていないワークロードを管理する。AI 駆動のコードは、Linux VM 内で非特権ユーザーとして実行されるため、エージェントによる操作は、ゲスト VM 内および明示的に選択されたフォルダ内に限定されるべきである。

しかし、SharedRoot の攻撃チェーンが明らかにしたのは、この境界が脆弱であることであり、安全なコーディングを前提とする環境が、ホスト侵害への入口へと変容してしまう点である。

Claude Cowork サンドボックス・エスケープ欠陥

macOS 版の Cowork アプリは、ログイン中のユーザー権限下で動作し、Apple の Virtualization フレームワークを通じて Linux VM を起動する。この VM 内において、エージェントは寛容な seccomp プロファイルを備えた非特権のセッション・アカウントに配置され、virtiofs マウントを介したホストファイル・システム全体へのアクセスが可能になるため、セキュリティ上の問題が生じる。

この脆弱性の悪用は、セッション・ユーザーが unshare コマンドを使用してユーザー・ネームスペースを作成し、そのネームスペース内で事実上の root 権限に相当する capabilities が付与されるところから始まる。その設定により、エージェントは netlink socket を介して act_pedit カーネル・モジュールの利用が可能となり、seccomp フィルタにより操作が許可されることで、脆弱なカーネル・モジュールが自動的にロードされる。

このエクスプロイトの中核をなすのは、深刻な脆弱性 CVE-2026-46331 であり、pedit COW として知られているものだ。この公式に文書化された Ubuntu カーネルの欠陥を悪用する攻撃者は、page cache ファイルの変更は不可能だが、破損させることは可能である。

このバグを悪用するエージェントは、root 所有のバイナリを標的として、ディスク上のバージョンに影響を与えることなくメモリ内のキャッシュされたイメージを改変し、従来の整合性チェックを回避する。

root デーモンである coworkd は、通常の動作中に侵害されたバイナリを再実行するため、root として実行される際に、悪意の改変を引き継ぐことになる。実行中のプロセスが完全な root 権限を保有しているため、NoNewPrivs のような保護措置は、この状況下での権限昇格を緩和することはできない。

ゲスト VM 内で root アクセスを取得したエージェントは、隠しファイルシステム・マウントに容易にアクセスし、ホストの root ディレクトリを露出させることが可能になる。このアクセスにより、ホスト・ユーザーのホーム・ディレクトリを閲覧し、SSH 鍵／クラウド認証情報などの機密ファイルを侵害できるほか、ユーザーの同意なしにファイルやコンフィグ・ファイルの作成／変更も可能になる。

この完全なエクスプロイト・チェーンの実行に成功した研究者たちは、サンドボックス内に書き込まれたファイルが、ほぼ即座にホスト・ユーザーのホーム・ディレクトリへ現れることを実証した。

このインシデントが浮き彫りにするのは、Cowork のローカル実行モデルの根幹をなす、セキュリティ上の主張が著しく損なわれている状況である。この問題は、特定のカーネル脆弱性を超えて、複数の設計上の問題に及んでいる。

訳者後書：今回の事例では、Claude Cowork の開発環境において、安全だと考えられていた境界が破られてしまいました。この問題の主な原因は、いくつかの設計上の判断と特定のカーネル脆弱性が組み合わさってしまった点にあります。まず、VM (仮想マシン) の内部からホストのファイル・システム全体へアクセスできる状態になっていたことや、権限の設定が緩やかだったことが背景に存在します。その上で、ユーザー・ネームスペースを作成して特権を得たエージェントが、CVE-2026-46331 として知られるカーネルの脆弱性を悪用しました。これにより、メモリ内のキャッシュが改変され、最終的に VM 内で最高権限が不正に取得され、ホスト側の重要なファイルへのアクセスが可能となりました。安全に利用するためにも、信頼できるコンテンツのみをセッション内で扱い、権限設定の見直しや修正プログラムの適用手順を運用に取り入れていくことが大切です。