Publicado en

Vulnerabilidad ‘SharedRoot’ en Claude Cowork: Cuando la IA escapa de su entorno seguro

•Publicado enVulnerabilidades

El riesgo de la autonomía: Investigadores descubren un escape de sandbox en Claude

En el vertiginoso avance de la Inteligencia Artificial, los agentes autónomos —capaces de ejecutar tareas directamente en nuestros sistemas— se han convertido en herramientas de productividad excepcionales. Sin embargo, esta capacidad conlleva riesgos técnicos significativos. Recientemente, investigadores de Accomplish AI han revelado una vulnerabilidad crítica, denominada SharedRoot, en la aplicación Claude Cowork de Anthropic para macOS.

Este fallo permite que un agente de IA rompa los límites de su entorno aislado (sandbox) y acceda, lea o escriba archivos en cualquier lugar del sistema operativo anfitrión (Mac), exponiendo información sensible como claves SSH, credenciales de la nube y datos personales.

Análisis técnico: ¿Cómo ocurre el escape?

Para entender la gravedad de SharedRoot, es necesario comprender la arquitectura de Claude Cowork. La aplicación ejecuta el trabajo del agente dentro de una Máquina Virtual (VM) Linux ligera, utilizando el framework de virtualización de Apple. Se supone que esta VM actúa como una celda de seguridad:

  • El agente opera con un usuario sin privilegios dentro de Linux.
  • Se utiliza un filtro seccomp para limitar las acciones del sistema.
  • Solo las carpetas seleccionadas por el usuario deberían ser visibles para la IA.

Sin embargo, los investigadores descubrieron que el sistema de archivos raíz del Mac se monta en la VM con permisos de lectura y escritura en la ruta /mnt/.virtiofs-root. Aunque solo el usuario «root» de la VM puede ver esta ruta, los atacantes (o un agente mal instruido) pueden explotar la vulnerabilidad CVE-2026-46331 (conocida como pedit COW) en el kernel de Linux de la VM para escalar privilegios. Una vez obtenido el control total dentro de la VM, el acceso al Mac anfitrión es total y sin restricciones.

Impacto empresarial y seguridad de los datos

Desde una perspectiva de gestión de riesgos, esta vulnerabilidad subraya un problema estructural en la implementación local de modelos de lenguaje (LLM). Si un agente de IA es engañado mediante una inyección de prompts o un código malicioso para ejecutar este exploit, las consecuencias para una organización podrían ser devastadoras:

  • Exfiltración de secretos: Acceso a tokens de acceso y llaves de infraestructura.
  • Manipulación de datos: Capacidad de alterar archivos críticos del sistema o documentos corporativos.
  • Persistencia: Posibilidad de instalar malware que permanezca en el equipo incluso después de cerrar la sesión de IA.

Estado actual y recomendaciones de mitigación

Anthropic ha respondido a este hallazgo modificando el comportamiento predeterminado de Claude Cowork hacia la ejecución en la nube, lo que elimina el riesgo para la mayoría de los usuarios. No obstante, aquellos que opten por ejecutar el agente de forma local para preservar la privacidad de sus datos siguen estando expuestos si no se toman medidas adicionales.

Para las empresas que utilizan herramientas de IA sobre infraestructuras locales, desde Intedya recomendamos:

  1. Priorizar la ejecución en la nube: Siempre que las políticas de cumplimiento lo permitan, delegar la ejecución a entornos gestionados por el proveedor.
  2. Restringir espacios de nombres: Deshabilitar los unprivileged user namespaces en los entornos Linux donde sea posible.
  3. Principio de mínimo privilegio: No otorgar permisos de escritura a las herramientas de IA sobre la raíz del sistema (/) y limitar el acceso estrictamente a carpetas de trabajo temporales.
  4. Actualización constante: Asegurarse de que el kernel de las máquinas virtuales utilizadas esté parcheado contra fallos de escalada de privilegios recientes.

La seguridad en la era de la IA no solo depende de la ética del modelo, sino de la robustez de la arquitectura técnica que lo sostiene.

Fuentes