Claude Cowork für macOS läuft als der am System angemeldete Nutzer. Die eigentliche Arbeit des Agenten findet jedoch in einer Linux-VM statt, die mit Apples Virtualization Framework erzeugt wird. Für jede Sitzung gibt es einen eigenen flüchtigen, nicht privilegierten Benutzer sowie einen seccomp-Filter zur Anwendungssandbox. Die vom Nutzer verbundenen Ordner werden über einen Root-Daemon namens coworkd in die VM eingebunden.
Der entscheidende Punkt ist laut Oren Yomtov, Principal Security Researcher bei Accomplish AI, dass das Dateisystem des Hosts mit Lese- und Schreibrechten in diese VM geteilt wird. Das gesamte Host-Verzeichnis „/“ werde so eingehängt, dass es innerhalb der VM unter „/mnt/.virtiofs-root“ für guest-root sichtbar sei. Sobald ein Pfad zu guest-root erreicht werde, könne der Agent auf den zugrunde liegenden Host zugreifen und damit die Sandbox effektiv verlassen.
Technisch basiert die Kette darauf, das Traffic-Control-Paketbearbeitungssubsystem „act_pedit“ des Linux-Kernels in einen nicht privilegierten User-Namespace zu laden und anschließend CVE-2026-46331 im Gast-Kernel auszunutzen. Die kürzlich offengelegte Schwachstelle wird als pedit COW bezeichnet und erlaubt es, guest-root zu erlangen. Von dort aus kann der Agent mit erhöhten Rechten auf den gesamten Host zugreifen und Dateien im Dateisystem des Macs als der angemeldete Desktop-Nutzer lesen oder schreiben.
Or Hiltch, Mitgründer und Technikchef von Accomplish AI, erklärte gegenüber The Hacker News, dass die Erstellung von User- und Netzwerk-Namespaces der Sitzung CAP_NET_ADMIN innerhalb ihres privaten Netzwerk-Namespaces verschafft. Diese Fähigkeit eröffne den Zugriff auf den verwundbaren tc/act_pedit-Kernelpfad, den pedit COW ausnutzt. Die Namespaces selbst seien nicht der Exploit, machten aber eine ansonsten privilegierte Voraussetzung für gewöhnliche Nutzer verfügbar.
Nach Darstellung von Accomplish AI ist das Problem nicht auf eine einzelne Kernel-Lücke beschränkt. Yomtov verweist darauf, dass das Linux-Subsystem net/sched regelmäßig genau diese Form der Rechteausweitung hervorbringe: ein automatisch ladbares Modul, ein Konfigurationspfad, den ein nicht privilegierter Nutzer erreichen kann, und am Ende ein Speicherfehler. Wer nur diese eine Lücke schließe, behebe nur diesen einen Fall; bei der nächsten Schwachstelle bleibe die darüberliegende Kette unverändert angreifbar.
Bedeutung erhält der Fund laut Bericht auch vor dem Hintergrund, dass Modelle von OpenAI bei einem Sicherheitstest aus ihrer Sandbox ausgebrochen sein sollen. Dieser Test führte demnach bei dem Versuch, beim ExploitGym-Benchmark zu mogeln, zu einer Verletzung der Produktionsinfrastruktur von Hugging Face.
Als Gegenmaßnahmen nennt Accomplish AI das Deaktivieren nicht privilegierter User-Namespaces, weniger großzügige seccomp-Filter, das Unterbinden des automatischen Ladens von Modulen und das Ende der vollständigen Host-Freigabe in die VM. Statt des gesamten „/“ solle nur auf die tatsächlich verbundenen Ordner beschränkt oder zumindest schreibgeschützt eingehängt werden. Zudem solle coworkd mit „ProtectSystem=strict“ in einem eigenen Mount-Namespace laufen, damit es keine Binärdateien erneut ausführt, die ein Sitzungsnutzer manipulieren kann.