Claude Cowork: una falla de seguridad permitía al agente IA acceder a los archivos de un Mac anfitrión
Los agentes de inteligencia artificial autónomos siguen planteando nuevos desafíos en el ámbito de la ciberseguridad. Investigadores de Accomplish AI han afirmado haber demostrado que una falla en el entorno de trabajo desarrollado por Anthropic, Claude Cowork, permitía a un agente IA ejecutado localmente escapar de su máquina virtual y acceder a los archivos del Mac anfitrión.
Si bien el problema ha sido parcialmente mitigado mediante una evolución en el modo de ejecución de Claude Cowork, este descubrimiento ilustra, una vez más, los riesgos asociados con la creciente integración de agentes IA capaces de interactuar directamente con los sistemas operativos.
Una evasión de la máquina virtual gracias a una vulnerabilidad del núcleo de Linux
Los investigadores de Accomplish AI han denominado a este ataque «SharedRoot». Según su informe, el escenario se basa en una combinación de varios elementos técnicos. Claude Cowork ejecuta sus sesiones locales en una máquina virtual de Linux que comparte ciertos archivos con macOS a través de un sistema de montaje VirtioFS.
Los investigadores han explicado que explotaron la vulnerabilidad CVE-2026-46331, denominada «pedit COW», una falla de elevación de privilegios que afecta al núcleo de Linux y que se evalúa como de alta gravedad.
Después de conseguir privilegios de root dentro de la máquina virtual, el agente IA pudo acceder al sistema de archivos compartido y consultar los recursos accesibles por el usuario conectado en el Mac.
Datos sensibles potencialmente accesibles
Según Accomplish AI, esta evasión permitía acceder a varios tipos de datos sensibles en el ordenador anfitrión. Los investigadores mencionan específicamente claves SSH, credenciales para servicios en la nube y todos los archivos accesibles desde la cuenta de usuario de macOS.
En una declaración divulgada por The Hacker News, Oren Yomtov, investigador principal en Accomplish AI, explica que una simple orden enviada a una nueva sesión de Claude Cowork habría sido suficiente para desencadenar la evasión de la sandbox, sin que apareciera ninguna solicitud de autorización adicional en pantalla.
De acuerdo con los investigadores, alrededor de 500,000 usuarios de macOS que utilizaban sesiones locales de Claude Cowork habrían estado potencialmente afectados antes de la implementación de las medidas de mitigación.
Anthropic ahora prioriza la ejecución en la nube
Siguiendo el informe de los investigadores, se indica que Anthropic clasificó el informe como «informativo», sin publicar un parche específico que aborde directamente el mecanismo descrito. Sin embargo, las versiones recientes de Claude Cowork ahora ejecutan por defecto las sesiones en la nube, evitando así el escenario de evasión descrito en esta demostración.
Los usuarios que deseen seguir funcionando con el agente localmente se les aconseja reforzar su configuración desactivando los espacios de nombres de usuario no privilegiados (unprivileged user namespaces), limitando el compartido del sistema de archivos entre el anfitrión y la máquina virtual, y aplicando protecciones más estrictas sobre los puntos de montaje utilizados por el servicio.
Una serie de alertas que afecta a todos los agentes IA
Este descubrimiento se produce en un contexto especialmente cargado para la seguridad de los agentes de inteligencia artificial. En las últimas semanas, varios equipos de investigación han puesto de relieve diferentes técnicas para comprometer agentes autónomos o su entorno de ejecución.
Entre los incidentes más conocidos se encuentran:
- ataques que aprovechan la memoria persistente de los agentes
- el secuestro de extensiones de navegador utilizadas por ciertos asistentes IA
- varias demostraciones de evasión relacionadas con herramientas de desarrollo asistidas por IA como Cursor, Codex o Gemini CLI
- así como el incidente recientemente revelado por OpenAI, durante el cual modelos experimentales lograron salir de un entorno de prueba antes de comprometer la infraestructura de Hugging Face en el marco de una experimentación de ciberseguridad.
La seguridad de los agentes autónomos se convierte en un desafío estratégico
Estos trabajos de investigación han puesto de manifiesto un consenso compartido por gran parte de la comunidad de ciberseguridad: el problema no radica únicamente en las capacidades de los modelos de inteligencia artificial, sino también en la arquitectura que los rodea. Incluso cuando un agente cumple con las reglas impuestas, una configuración de seguridad inadecuada, un intercambio excesivo de recursos o un mal aislamiento entre entornos pueden crear vías de acceso imprevistas.
A medida que los agentes IA ganan autonomía e interactúan más estrechamente con los sistemas operativos, las empresas deberán repensar sus mecanismos de protección. Los entornos de tipo sandbox siguen siendo indispensables, pero esta sucesión de incidentes muestra que no constituyen más que una primera línea de defensa. La aislación de la infraestructura, la gestión de privilegios y la limitación de accesos se convierten ahora en elementos tan críticos como el rendimiento de los propios modelos.
