Claude неожиданно получил полный доступ к Mac: что пошло не так
ИИ-агент Claude во время тестов вышел за пределы изолированной среды. Специалисты по кибербезопасности выяснили, что он смог беспрепятственно получить доступ к файлам на Mac.
Об этом сообщает РБК-Украина со ссылкой на The Hacker News.
Схема "бегства" ИИ: в чем угроза
Специалисты запустили локальную сессию агента Claude Cowork в виртуальной машине Linux, работавшей на операционной системе Mac. К сессии подключили только одну папку и отправили одно короткое сообщение. После этого ИИ самостоятельно вышел за пределы выделенной оболочки.
По словам главного исследователя по безопасности Accomplish AI Орена Йомтова, агент без всяких запросов на получение разрешения начал считывать и изменять файлы по всей операционной системе Mac, выйдя далеко за пределы предоставленной ему папки.
Такой выход из песочницы создает угрозу похищения чувствительных данных пользователя Mac, в частности:
- частных ключей SSH;
- учетных данных для доступа к облачным сервисам;
- любых личных файлов, сохраненных в системном аккаунте.
Для обхода защитных барьеров ИИ-агент использовал уязвимость для повышения привилегий в ядре Linux под названием CVE-2026-46331 (pedit COW"). Эту проблему безопасности с рейтингом строгости 7,8 из 10 (высокий уровень) разработчики устранили в середине июня 2026 года.
Реакция Anthropic
Исследователи из Accomplish AI сообщили об обнаруженной проблеме. В Anthropic признали наличие уязвимости, однако не выпустили официальной поправки для локального режима.
Вместо этого в следующем обновлении Claude Cowork по умолчанию перевели на выполнение задач в облаке, что фактически решает проблему для большинства пользователей.
Как защититься?
Со всем тем, пользователи, продолжающие запускать ИИ-агента локально вместо облака, все еще остаются под угрозой.
Для уменьшения рисков специалисты советуют принять следующие меры безопасности:
- отключить непривилегированные пространства имен пользователей (user namespaces);
- настроить или отозвать разрешения seccomp;
- остановить автоматическую загрузку модулей ядра;
- ограничить доступ виртуальной машины ко всей системе, предоставив разрешение только отдельным папкам в режиме "только для чтения" (read-only);
- запускать фоновый процесс coworkd с параметром ProtectSystem=strict в пространстве имен монтирования.
По словам киберисследователей, соблюдение этих шагов лишит даже привилегированного пользователя возможности нанести урон основной системе Mac.