影响全球约 50 万 macOS 用户 Claude Cowork 智能体 AI 爆漏洞可读写任意 Mac 文件

科技媒体 9to5Mac 昨天（7 月 27 日）曝出一个消息：Anthropic 的 Claude Cowork 被发现有安全漏洞，攻击者能利用这个漏洞，从 Linux 虚拟机沙箱里逃出来，然后在 Mac 上任意读写文件。 这事儿，值得关注一下。

先简单说说 Claude Cowork 是什么。它是 Anthropic 推出的一款 AI 智能体工具，在用户明确授权后，可以在 Mac 上访问本地文件和文件夹，并按照指令处理任务。听起来挺方便，但安全风险也随之而来。

为了防患于未然，Anthropic 给它设了两道防线：第一，Cowork 在虚拟机里隔离运行，理论上出不来；第二，它只能访问用户明确授权的文件和文件夹。双保险，听起来挺靠谱。

但安全研究人员发现，开发者可以利用这个漏洞，同时突破这两层限制。 具体来说，攻击者能让 Cowork 逃离它所在的 Linux 虚拟机沙箱，然后直接在 Mac 的任意位置读取或写入文件。更危险的是，这个漏洞还可能导致攻击者获取在线服务的登录凭据，比如密码、令牌之类的。

怎么实现的呢？Accomplish AI 公司指出，Cowork 隔离运行的那个虚拟机，是通过一个可写的 VirtioFS 挂载点来共享宿主机文件系统的。这个挂载点原本只允许虚拟机内的 root 用户访问，但研究人员发现，他们可以利用一个被称为“pedit COW”的 Linux 内核漏洞（CVE-2026-46331，严重性评分接近 8 分，满分 10 分），从普通会话用户提升到虚拟机内的 root 用户权限。一旦拿到 root 权限，这个智能体程序就能访问到登录 Mac 用户能访问的所有资源——基本上和你在 Mac 上能做的事一样了。

在影响范围上，Accomplish AI 在漏洞披露前已经向 The Hacker News 分享了详细信息。据他们估计，在漏洞被修复前，大约有 50 万运行本地 Cowork 会话的 macOS 用户会受到影响。这个数字不算小。

不过，事情有点微妙。据 Hacker News 报道，Anthropic 公司把这个报告标记为“信息丰富”，但并没有直接发布修复方案。随后发布的 Claude Cowork 新版本，默认改成了在云端执行任务，完全绕开了本地的逃逸路径。换句话说，云端用户暂时安全了。

但问题在于，那些选择在本地而非云端运行智能体的用户，依然面临风险。除非他们手动强化配置：比如禁用非特权用户命名空间、限制文件系统共享，以及使用严格的挂载保护。否则，漏洞就是敞开的。