Una vulnerabilità in Claude Cowork, la piattaforma di Anthropic pensata per far svolgere all’intelligenza artificiale compiti complessi su file e applicazioni del computer, ha permesso a un agente AI di accedere praticamente a tutto ciò che si trovava sul Mac, comprese le credenziali più delicate. Il tema arriva in un momento in cui gli agenti AI, ovvero i sistemi capaci di agire in autonomia per portare a termine le attività che vengono loro affidate, sono sulla bocca di tutti gli addetti ai lavori. E insieme alla loro diffusione crescono anche i timori legati ai margini di autonomia di questi strumenti e ai comportamenti che nessuno si aspetta.
Basti pensare a quanto successo di recente, con due agenti di OpenAI che sono riusciti a violare i server di Hugging Face senza alcun intervento umano. Proprio per provare a mettere ordine, NVIDIA ha lanciato la Open Secure AI Alliance, un’iniziativa che mette attorno allo stesso tavolo diversi colossi della tecnologia con l’obiettivo dichiarato di rendere più sicuri gli agenti AI. Ora tocca a Cowork, disponibile da poche settimane anche su smartphone e web, finire sotto la lente dei ricercatori di sicurezza.
Cosa è successo davvero
I ricercatori di Accomplish AI hanno dimostrato che Cowork può uscire dalla sua sandbox, cioè quell’ambiente isolato e protetto in cui l’agente dovrebbe lavorare senza toccare file e dati diversi da quelli espressamente autorizzati dall’utente. Il ricercatore Oren Yomtov ha spiegato di essere riuscito a far uscire l’agente collegando una singola cartella a una nuova sessione e inviando un solo messaggio, senza che comparisse alcuna richiesta di autorizzazione in più.
La falla, battezzata SharedRoot, avrebbe consentito di leggere e scrivere file ovunque sul disco del Mac coinvolto, comprese chiavi SSH e credenziali salvate per vari servizi cloud. Circa mezzo milione di utenti Mac avrebbe avuto sessioni locali esposte a questo problema, prima che un aggiornamento successivo riducesse l’esposizione.
Come dovrebbe funzionare la sandbox
Per capire la portata della vicenda conviene fare un passo indietro. Quando viene usato in modalità locale, l’agente lavora dentro una macchina virtuale Linux isolata dal resto del sistema, creata con la tecnologia di virtualizzazione di Apple. Sulla carta questo ambiente serve proprio a impedire all’agente di accedere ai file del Mac, tranne le cartelle che l’utente sceglie di condividere.
Peccato che, secondo Accomplish AI, dentro la macchina virtuale ci fosse anche un collegamento interno verso il filesystem del Mac, normalmente raggiungibile solo con privilegi di amministratore. I ricercatori sostengono di aver sfruttato una vulnerabilità del kernel Linux, resa pubblica da poco, per ottenere proprio quei privilegi. Una volta diventati amministratori della macchina virtuale, sarebbero riusciti ad arrivare a quel collegamento e quindi a tutti i file del Mac ospitante. Da notare che la falla non riguardava macOS, ma il kernel Linux usato dalla macchina virtuale in cui Cowork esegue le attività locali.
La posizione di Anthropic
Sempre secondo Accomplish AI, Anthropic avrebbe trattato la segnalazione come una semplice informazione tecnica, senza rilasciare una correzione specifica. Il motivo starebbe nel fatto che la vulnerabilità del kernel Linux sfruttata nell’attacco era stata resa pubblica da meno di 30 giorni e, per questo, non rientrerebbe nei criteri del programma di ricompense per chi segnala falle di sicurezza.
Nel frattempo, con l’aggiornamento del 7 luglio, Cowork è stato impostato per eseguire le sessioni nel cloud in modo predefinito anziché sul computer dell’utente. Una scelta che eliminerebbe il percorso di attacco descritto dai ricercatori. Chi continua a usare la modalità locale, invece, potrebbe restare potenzialmente esposto, a meno di intervenire a mano sulla configurazione per limitare l’accesso della macchina virtuale al filesystem del Mac.
Va comunque precisato che si è trattato di una dimostrazione condotta dai ricercatori sul proprio Mac, in un ambiente controllato. A differenza di altri casi, come quello di OpenAI con Hugging Face, al momento non risultano segnalazioni di un reale sfruttamento della falla di Cowork ai danni di altri utenti.