كشف باحثو Accomplish AI عن ثغرة خطيرة في منصة Claude Cowork من شركة Anthropic، تسمح بالهروب من بيئة Linux VM التي يعمل فيها الوكيل (Agent) والوصول إلى ملفات نظام macOS مباشرة. الثغرة، التي أُطلق عليها اسم SharedRoot، أثرت على نحو 500,000 مستخدم macOS كانوا يشغّلون جلسات Cowork محليًا قبل أن يتم إصلاحها جزئيًا.
وفقًا للباحثين، تمكنوا من توصيل مجلد بجلسة جديدة ثم إرسال رسالة قصيرة، ليشاهدوا الوكيل يتجاوز حدود الـ VM ويقرأ ويكتب ملفات على النظام المضيف دون أي تنبيه أو طلب إذن. هذا يعني أن الوكيل يمكنه الوصول إلى بيانات حساسة مثل مفاتيح SSH، بيانات الاعتماد السحابية، وغيرها.
آلية الاستغلال
- تطبيق Cowork على macOS يعمل كمستخدم النظام، بينما تُدار مهام الوكيل داخل VM مبني باستخدام إطار Apple Virtualization.
- يتم مشاركة المجلدات عبر خدمة coworkd التي تعمل بصلاحيات الجذر.
- المشكلة تكمن في أن النظام المضيف بالكامل يُشارك داخل الـ VM بصلاحيات قراءة وكتابة، مما يمنح الوكيل إمكانية الوصول إلى ملفات النظام.
- الاستغلال يعتمد على تحميل وحدة act_pedit الخاصة بتحرير الحزم في نواة لينكس، واستغلال ثغرة CVE-2026-46331 المعروفة باسم pedit COW للحصول على صلاحيات الجذر داخل الـ VM.
- بمجرد الحصول على صلاحيات الجذر، يمكن للوكيل الوصول إلى ملفات النظام المضيف بشكل كامل.
خطورة الثغرة
هذا النوع من الثغرات يُظهر مشكلة هيكلية: حتى مع إصلاح ثغرة معينة، يبقى النظام معرضًا لثغرات جديدة في نواة لينكس، ما يجعل المستخدمين دائمًا “متأخرين بخطوة” عن المهاجمين. الباحثون شبّهوا الأمر بسلسلة لا تنتهي من ثغرات التصعيد في net/sched subsystem، حيث تُكتشف ثغرات جديدة بشكل دوري.
إجراءات التخفيف المقترحة
- تعطيل unprivileged user namespaces.
- تشديد إعدادات seccomp filter وعدم جعلها متساهلة.
- منع التحميل التلقائي للوحدات (autoloading).
- عدم مشاركة النظام المضيف بالكامل داخل الـ VM، والاكتفاء بالمجلدات المطلوبة فقط، أو جعلها للقراءة فقط.
- تشغيل خدمة coworkd ضمن مساحة تركيب خاصة مع خيار ProtectSystem=strict لمنع إعادة تنفيذ ملفات يمكن للمهاجم تسميمها.
