安全研究人员披露，anthropic推出的ai智能体工具claude cowork存在高危安全缺陷，攻击者可借此突破linux虚拟机沙箱限制，在macos系统任意路径执行文件读写操作，波及全球约50万名mac用户。该漏洞还可能被用于窃取各类在线服务的账户凭证，潜在危害极为严重。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
双重防护机制双双失效
Claude Cowork是Anthropic面向Mac平台发布的AI协作工具，设计上需在用户明确授权前提下，方可访问本地指定文件与目录并执行自动化任务。为保障安全，Anthropic部署了双重隔离策略：其一，Cowork运行于独立的Linux虚拟机环境中；其二，其文件访问权限严格限定于用户手动授予的范围。然而，Accomplish AI团队的研究人员证实，该漏洞可同时瓦解上述两重防护——使Cowork成功脱离虚拟机沙箱，直接与宿主macOS系统的文件系统交互。
技术分析指出，该虚拟机通过VirtioFS机制挂载宿主机文件系统，且该挂载点具备可写属性。尽管该挂载本应仅对虚拟机内root账户开放，但研究人员利用Linux内核中编号为CVE-2026-46331的安全缺陷（代号“pedit COW”，CVSS评分高达7.9/10），成功将普通会话用户的权限提升至虚拟机root级别。一旦AI智能体获取root权限，即可无障碍访问当前登录Mac用户的全部可访问资源。
云端迁移非万能解法，本地运行隐患犹存
Anthropic在接获漏洞报告后将其归类为“信息价值较高”，但未推出针对性修复补丁。后续发布的Cowork更新版本默认切换为纯云端任务执行模式，从架构层面规避了本地逃逸风险。不过，若用户仍选择启用本地执行模式，则原有漏洞威胁依然存在——除非手动采取加固措施，例如禁用非特权用户命名空间、缩小文件系统共享范围，以及启用更严格的挂载选项进行防护。
此次事件再度凸显AI智能体在终端侧运行所面临的安全挑战。当AI工具被赋予本地文件读取能力时，其整体安全性不再仅依赖模型本身的行为可控性，更深度绑定于底层虚拟化隔离机制的健壮程度。随着AI智能体加速融入日常桌面工作流，用户授权边界与AI行为能力之间的信任契约，已成为整个产业亟待系统性重构的核心命题。
