El Escape de Sandbox de Claude Cowork: La Vulnerabilidad del Kernel que Expuso Datos Sensibles
Investigadores de seguridad han descubierto una grave vulnerabilidad que permite a agentes de IA, como Claude Cowork, escapar de su entorno virtual (sandbox) local y acceder a archivos sensibles en el sistema anfitrión. Esta brecha, denominada SharedRoot, demostró que la confianza depositada en la infraestructura de ejecución de agentes puede ser un vector de ataque crítico, poniendo en riesgo las credenciales de usuarios y claves SSH en dispositivos macOS.
La Mecánica del Escape: Explotando la Arquitectura Virtual
El ataque se logró mediante una cadena de explotación que aprovechó una debilidad profunda en el núcleo del sistema operativo Linux. La clave para el escape residió en cómo se gestionaba el acceso al sistema de archivos compartido entre el agente de IA y su entorno de ejecución.
La Debilidad Central: CVE-2026-46331 (pedit COW)
La vulnerabilidad explotada fue una falla en el subsistema de control de tráfico del kernel de Linux, específicamente en el manejo de las operaciones de copia-en-escritura (copy-on-write). Esta falla permitió escrituras fuera de los límites en la memoria compartida (page-cache memory), lo que facilitó la escalada de privilegios desde un usuario de sesión hasta el root dentro de la máquina virtual (VM).
La Ruta de Escape: VirtioFS y el Montaje Compartido
El mecanismo de escape se facilitó porque la sesión local de Claude Cowork se ejecuta dentro de una VM de Linux que comparte el sistema de archivos del host Mac a través de un montaje writable llamado VirtioFS. Aunque este montaje estaba diseñado para ser accesible solo por root dentro de la VM, los investigadores descubrieron que podían explotar la falla del kernel para saltar esta restricción y acceder a todo el sistema de archivos del host Mac sin requerir permisos explícitos.
Impacto y Exposición de Datos
Las consecuencias de esta vulnerabilidad son significativas, ya que permitieron a un agente de IA acceder a información de alto valor en el entorno del usuario. La capacidad de leer y escribir archivos en el host Mac significó que los atacantes pudieron acceder a información crítica, incluyendo claves SSH y credenciales de la nube, todo ello sin activar ninguna solicitud de permiso.
Alcance de la Exposición
Los hallazgos de Accomplish AI indicaron que aproximadamente 500,000 usuarios de macOS que ejecutaban sesiones locales de Claude Cowork se vieron potencialmente expuestos a este riesgo. Este incidente subraya la necesidad urgente de revisar cómo las arquitecturas de virtualización y los sistemas operativos manejan la compartición de recursos a nivel de kernel.
La Respuesta y las Lecciones Aprendidas
Anthropic cerró el informe como "informativo" sin proporcionar una solución directa. No obstante, este incidente se suma a un patrón más amplio donde los agentes de IA operan dentro de entornos que, aunque bien aislados, pueden ser vulnerables a fallos de bajo nivel en el kernel. La lección principal es que la seguridad de los agentes de IA no solo depende de la lógica de la IA, sino también de la solidez de la infraestructura subyacente que los aloja.
La Opinion de ExploxTV
Este incidente con Claude Cowork es un recordatorio brutal de que la seguridad de la IA no puede ser tratada como un problema de software de aplicación, sino como un problema de infraestructura de sistema operativo. La tendencia observada, donde los agentes de IA se mueven libremente dentro de un sandbox, pero la infraestructura subyacente confía ciegamente en el agente, crea una superficie de ataque masiva. La solución no reside solo en parchear vulnerabilidades específicas (como el CVE-2026-46331), sino en implementar una arquitectura de confianza cero (Zero Trust) a nivel de kernel y sistema de archivos. Los usuarios deben exigir que las soluciones de IA incorporen protecciones de montaje estrictas y que las configuraciones de usuario no privilegiado sean la defensa por defecto, no la excepción.