現在很多 Mac 用戶都會透過 Claude Cowork 來完成各種工作，過去一直以來都沒傳出什麼問題，但最近卻被國外資安研究公司發現存在一條嚴重的沙盒逃脫攻擊鏈，只要在全新的 Cowork 工作階段輸入一則簡短訊息，就能讓代理程式逃出原本用來隔離它的 Linux 虛擬機，接著讀寫使用者未授權的 Mac 檔案，而且整個過程不會出現任何權限的確認視窗。
Claude Cowork 爆出 SharedRoot 沙盒逃脫漏洞：一則訊息就能越權讀寫 Mac 檔案
根據 9to5Mac 引述 The Hacker News 與資安公司 Accomplish AI 的研究報告，這條攻擊鏈被命名為「SharedRoot」，能讓 Claude Cowork 的本機代理程式突破 Linux 虛擬機，進一步讀寫 Mac 上原本沒有開放給它的檔案。有些人可能不太清楚，Anthropic 為了避免 Cowork 看到不該看的東西、動了不該動的檔案，將程式碼執行環境放在「虛擬機」裡，照理來說，它只能處理指定資料夾裡的內容，不能跑到其他地方。
Cowork 本機模式是採用 Apple 的 Virtualization framework 來建立 Linux 虛擬機，每個工作階段會使用獨立、低權限的使用者，再搭配系統呼叫過濾和資料夾掛載機制。從表面上看，這套設計已經做了多層隔離。
但國外資安研究人員 Accomplish AI 發現，Mac 的整個根目錄實際上被以可讀寫方式掛載進虛擬機內的 `/mnt/.virtiofs-root`。正常情況下，只有虛擬機裡的 root 管理者看得到這個入口，整道防線建立在一個重要前提上：Claude 永遠不會取得虛擬機裡的 root 權限。而這次發現的漏洞 SharedRoot，就是打破這項前提的方法：
圖片來源：Accomplish AI
另外要注意的是，SharedRoot 不是一個漏洞編號，而是研究團隊替整條沙盒逃脫攻擊鏈取的名稱。它結合 Linux 核心漏洞、虛擬機權限設定、`coworkd` 的執行方式，以及整個 Mac 檔案系統被掛載進虛擬機等多項條件，最後才完成逃脫。
Accomplish AI 的測試方式非常簡單。他們把一個資料夾連接到全新的 Claude Cowork 工作階段，接著輸入一則特製的簡短訊息。幾秒後，原本只能在指定資料夾裡工作的代理程式，就把檔案寫進 Mac 使用者的主目錄，成功越過原本授權的範圍。
當然，背後的技術比傳送訊息複雜很多。Cowork 裡負責執行任務的 Claude 代理程式，一開始只是虛擬機中的普通使用者，但它依照惡意提示執行指令後，可以利用 Cowork Linux 環境允許建立 user namespace 的設定，在這個隔離空間中取得包含 CAP_NET_ADMIN 在內的網路管理能力，接著載入原本用不到的 act_pedit 流量控制模組。
問題就出在 `act_pedit`。Cowork 當時使用的 Linux 核心受到 CVE-2026-46331「pedit COW」漏洞影響，攻擊者可藉此汙染只能讀取之檔案的快取內容。
Claude 代理程式利用這項漏洞修改 root 程式在記憶體裡的快取副本，再等待以 root 身分運作的 `coworkd` 重新執行該程式。由於執行者本來就是 root，原本用來阻止普通使用者提權的限制沒有發揮作用，代理程式就這樣取得虛擬機內的最高權限。
拿到 root 權限後，Claude 代理程式直接進入 `/mnt/.virtiofs-root`，就能以目前登入的 macOS 使用者身分讀寫 Mac 檔案。由於這不是透過 Cowork 正常的檔案授權介面完成，所以螢幕上不會出現「是否允許存取」之類的確認視窗。
圖片來源：Accomplish AI
Accomplish AI 也有將研究結果通報給 Anthropic，Anthropic 把這份報告歸類為「Informative」並結案，沒有為 SharedRoot 發布一個直接對應的本機架構修補程式。不過，後續版本的 Claude Cowork 已經改成預設使用遠端執行，代理迴圈與程式碼會在 Anthropic 管理的臨時雲端沙盒中運作，工作階段結束後環境也會被移除。
而需要本機檔案時，遠端工作階段會透過 Claude Desktop 連回使用者的電腦，並針對每次工具呼叫檢查已連接的資料夾和權限。由於程式碼不再執行於那個掛載整台 Mac 的本機 Linux 虛擬機中，SharedRoot 使用的本機逃脫路徑也就不存在。
只不過「預設使用雲端」不等於本機模式已經消失。如果使用者選擇本機模式，程式碼和 Shell 指令還是會在裝置上的 Linux 虛擬機裡執行，因此 Accomplish AI 認為，沒有額外強化設定的本機環境，依然可能受到這類攻擊鏈影響。
所以說，平常使用 Cowork 時，建議優先保留預設的遠端執行模式，為 Claude 建立專用工作資料夾，不要把 SSH 金鑰、雲端憑證、財務資料或公司機密放在它能接觸的位置。處理陌生郵件、PDF、程式碼專案與網站時也要特別小心，涉及重要帳號或不可逆操作時，最好改用手動批准，並留在電腦旁監看。