Lỗ hổng nghiêm trọng trên Claude Cowork: Tin tặc có thể chiếm quyền điều khiển tệp tin trên macOS

Theo tin từ IT ngày 28 tháng 7, trang tin công nghệ 9to5Mac hôm qua (27 tháng 7) đã đăng tải bài viết cho biết Claude Cowork của Anthropic tồn tại lỗ hổng bảo mật, cho phép kẻ tấn công thoát khỏi môi trường sandbox của máy ảo Linux và đọc/ghi tệp tin tại bất kỳ vị trí nào trên Mac.

Lưu ý của IT: Claude Cowork là công cụ AI agent do Anthropic ra mắt. Sau khi được người dùng cấp quyền rõ ràng, công cụ này có thể truy cập các tệp và thư mục cục bộ trên Mac để xử lý các tác vụ theo yêu cầu của người dùng.

Về khía cạnh bảo mật, Anthropic đã thiết lập 2 lớp hạn chế: thứ nhất là Cowork chạy cô lập bên trong máy ảo, thứ hai là chỉ có thể truy cập các tệp và thư mục mà người dùng đã cấp quyền.

Các nhà nghiên cứu bảo mật phát hiện ra rằng, kẻ tấn công có thể lợi dụng lỗ hổng này để vượt qua đồng thời cả 2 lớp hạn chế nêu trên. Kẻ tấn công có thể khiến Cowork thoát khỏi môi trường sandbox của máy ảo Linux đang chạy, từ đó đọc hoặc ghi tệp tin tại bất kỳ vị trí nào trên Mac. Lỗ hổng này cũng có thể khiến kẻ tấn công lấy được thông tin đăng nhập của các dịch vụ trực tuyến.

Về cách thức thực hiện cụ thể, công ty Accomplish AI chỉ ra rằng máy ảo chạy cô lập của Cowork có thể chia sẻ hệ thống tệp của máy chủ thông qua điểm gắn kết (mount point) VirtioFS có thể ghi. Điểm gắn kết này vốn chỉ cho phép người dùng root bên trong máy ảo truy cập, nhưng các nhà nghiên cứu phát hiện ra rằng họ có thể lợi dụng CVE-2026-46331 (một lỗ hổng nhân Linux có tên "pedit COW", với điểm số nghiêm trọng gần 8/10) để leo thang đặc quyền từ người dùng phiên làm việc lên quyền root của máy ảo.

Một khi chương trình AI agent giành được quyền root bên trong máy ảo, nó có thể truy cập vào bất kỳ tài nguyên nào mà người dùng Mac đang đăng nhập có quyền truy cập.

Về quy mô ảnh hưởng, Accomplish AI đã chia sẻ chi tiết về lỗ hổng này với The Hacker News trước khi công bố. Công ty cho biết, trước khi lỗ hổng được khắc phục, có khoảng 500.000 người dùng macOS đang chạy các phiên Cowork cục bộ bị ảnh hưởng.

Theo báo cáo của Hacker News, Anthropic đã đánh dấu báo cáo này là "mang tính thông tin" (informative) nhưng không đưa ra giải pháp khắc phục trực tiếp. Các phiên bản Claude Cowork được phát hành sau đó mặc định thực thi trên đám mây, hoàn toàn bỏ qua đường dẫn thoát khỏi môi trường cục bộ.

Tuy nhiên, những người dùng chọn chạy AI agent cục bộ thay vì trên đám mây vẫn phải đối mặt với rủi ro, trừ khi họ tăng cường cấu hình bằng cách vô hiệu hóa không gian tên người dùng không đặc quyền (unprivileged user namespaces), hạn chế chia sẻ hệ thống tệp và sử dụng các biện pháp bảo vệ gắn kết nghiêm ngặt.

Tuyên bố quảng cáo: Các liên kết chuyển hướng bên ngoài trong bài viết (bao gồm nhưng không giới hạn ở siêu liên kết, mã QR, mật khẩu, v.v.) được sử dụng để truyền tải thêm thông tin, tiết kiệm thời gian lựa chọn, kết quả chỉ mang tính chất tham khảo, tất cả các bài viết của IT đều bao gồm tuyên bố này.