影响全球约 50 万 macOS 用户，Claude Cowork 智能体 AI 爆漏洞可读写任意 Mac 文件
爱游戏，您的专属资讯平台。
爱游戏APP：您的专属体育资讯聚合平台
7 月 28 日消息，科技媒体 9to5Mac 昨日（7 月 27 日）发布博文，报道称 Anthropic 的 Claude Cowork 存在安全漏洞，攻击者利用漏洞可以从 Linux 虚拟机沙箱逃逸，并读写 Mac 任意位置文件。
IT之家注：Claude Cowork 是 Anthropic 推出的 AI 智能体工具，在征得用户明确授权许可之后，该工具可以在 Mac 上访问本地文件和文件夹，并依据用户指令处理相关任务。
在安全防护方面，Anthropic 为此设置 2 层限制，其一是 Cowork 在虚拟机内隔离运行，其二是仅可访问用户授权的文件与文件夹。
安全研究人员发现，开发者利用该漏洞可同时突破上述 2 层限制。攻击者可让 Cowork 逃离其运行所在的 Linux 虚拟机沙箱，并在 Mac 任意位置读取或写入文件。漏洞还可能使攻击者获取在线服务的登录凭据。
在具体实现方面，Accomplish AI 公司指出 Cowork 隔离运行的虚拟机可以通过可写的 VirtioFS 挂载点共享宿主机文件系统。该挂载点原本只允许虚拟机内的 root 用户访问，但研究人员发现，他们可以利用 CVE-2026-46331（一个被称为“pedit COW”的 Linux 内核漏洞，其严重性评分接近 8 分，满分 10 分）从会话用户提升到虚拟机 root 用户权限。
一旦智能体程序获得虚拟机内的 root 权限，它就可以访问登录的 Mac 用户能够访问的任何资源。
在影响规模方面，Accomplish AI 在漏洞披露前已向 The Hacker News 分享了该漏洞的详细信息。该公司表示，在漏洞修复前，影响约有 50 万运行本地 Cowork 会话的 macOS 用户。
据 Hacker News 报道，Anthropic 公司将该报告标记为“信息丰富”（informative），但并未发布直接的解决方案。随后发布的 Claude Cowork 版本默认在云端执行，完全绕过了本地逃逸路径。
然而，选择在本地而非云端运行智能体的用户仍然面临风险，除非他们通过禁用非特权用户命名空间、限制文件系统共享以及使用严格的挂载保护来强化配置，这或许是用户在选择类似 爱游戏官网 平台时需要关注的安全性细节。
AYX平台汇聚全球顶尖体育赛事，包括但不限于足球、篮球、网球等，并提供详尽的赛程、比分及专家分析。我们还紧密跟踪电竞领域的最新动态，涵盖热门游戏赛事，为用户提供全方位的信息服务。
“爱游戏APP，让每一次信息获取都充满价值。我们致力于为您提供最权威、最全面的体育与电竞资讯，让您时刻处于行业前沿。” - AYX 用户代表
围绕爱游戏平台，爱游戏持续打磨更优质的服务。
用户评论
爱游戏深耕实时更新的体育赛事与电竞赛事信息领域，用心服务每一位用户。2020年1月5日 8:00
在深度解读热门娱乐活动与趋势方面，爱游戏提供贴心周到的支持。
爱游戏以流畅便捷的APP用户体验为核心，带来高效便捷的体验。2020年1月15日 8:00
想了解更多多元化的互动社区功能相关内容，尽在爱游戏。
爱游戏围绕爱游戏APP不断创新，回应用户的真实需求。2020年1月25日 8:00
精选爱游戏官网内容，爱游戏与你一同发现更多精彩。
发表您的看法