50 万Mac用户面临风险，Claude智能体曝沙箱逃逸漏洞可任意读写文件

Anthropic旗下AI智能体工具Claude Cowork被安全研究人员发现存在严重漏洞。攻击者可能借此逃离Linux虚拟机沙箱，在Mac上的任意位置读取或写入文件，全球约 50 万macOS用户可能受到影响。攻击者还可能利用漏洞取得在线服务登录凭据，因此其安全风险不容忽视。

两道安全防线均被突破

Anthropic推出的AI智能体工具Claude Cowork，可在获得用户明确授权后访问Mac本地文件和文件夹，并执行相应任务。Anthropic为其设置了两层安全限制：Cowork仅能访问用户授权的文件与文件夹，同时在虚拟机中隔离运行。不过，Accomplish AI公司的研究人员发现，开发者能够借助这一漏洞同时突破两层防护，使Cowork从其所在的Linux虚拟机沙箱中逃逸，进而直接访问宿主机文件系统。

技术细节显示，Cowork隔离运行的虚拟机通过可写的VirtioFS挂载点共享宿主机文件系统。该挂载点原本仅允许虚拟机内的root用户访问，但研究人员利用了编号为CVE-2026- 46331 的Linux内核漏洞（代号"pedit COW"，严重性评分接近满分 10 分中的 8 分），将会话用户权限提升至虚拟机root用户。一旦智能体获得root权限，即可访问登录Mac用户能触及的任何资源。

云端执行规避风险，本地用户仍须警惕

收到报告后，Anthropic将其标记为"信息丰富"，但没有直接推出修复补丁。此后发布的Cowork新版本将智能体任务默认放到云端执行，从而完全避开本地逃逸路径。不过，继续选择本地运行而不是云端执行的用户，风险依然存在。除非用户主动禁用非特权用户命名空间、限制文件系统共享，并利用严格挂载保护加强系统配置。

这起事件使AI智能体本地执行的安全问题再度成为焦点。AI工具一旦获得本地文件读取权限，其安全边界既取决于AI自身是否可靠，也取决于底层虚拟机的隔离机制是否足够牢固。随着智能体AI加速进入个人桌面，如何界定AI能力与用户权限之间的信任边界，已经成为整个行业必须重新审视的关键课题。