50 萬Mac用戶裸奔，Claude智能體爆沙箱逃逸漏洞可讀寫任意文件

安全研究人員揭露了一項嚴重安全漏洞，矛頭直指Anthropic旗下AI智能體工具Claude Cowork。這項漏洞可讓攻擊者繞過Linux虛擬機的沙箱隔離，直接在Mac電腦上任意讀取或寫入檔案，全球估計約有50萬名macOS用戶因此暴露在風險之中。更令人擔憂的是，駭客可能乘機竊取使用者登入各類線上服務的帳號密碼，威脅層級不可小覷。Claude Cowork是Anthropic開發的AI智能體，使用者一旦授予明確權限，它就能存取本機檔案與資料夾，並自動執行多種任務。

為了保護系統安全，Anthropic設計了兩道防線：第一層是讓Cowork在虛擬機內部隔離運作，第二層則是限定它只能讀取使用者授權的檔案。理論上，這樣的雙重防護應能有效阻擋惡意行為，但現實證明這套機制並非牢不可破。來自Accomplish AI公司的研究人員成功破解了上述防禦架構。他們發現，Cowork運行的Linux虛擬機透過一個稱為VirtioFS的可寫入掛載點，與主機的檔案系統進行共用。這個掛載點原則上只允許虛擬機內部的root使用者存取，然而研究人員利用編號CVE-2026-46331的Linux核心漏洞（代號「pedit COW」）發動攻擊，該漏洞的嚴重性評分接近滿分十分中的八分。

攻擊者藉此將普通權限提升為虛擬機內的root權限，一旦AI智能體取得root地位，就能夠接觸登入Mac使用者所能觸及的所有資源，包含檔案、憑證與其他敏感資料。換句話說，攻擊者可以讓Claude Cowork徹底逃離虛擬機沙箱，無視原先的授權限制，直接在主機系統上任意讀取與寫入檔案。這意味著儲存在瀏覽器、郵件客戶端或各種應用程式中的登入憑證都可能被一掃而空。研究人員指出，這項漏洞在全球範圍內影響約50萬名macOS用戶，潛在衝擊相當廣泛。Anthropic在收到研究人員的通報後，將這項漏洞標記為「資訊豐富」（informative），但並未立即釋出修補程式。

該公司隨後推出新版本的Cowork，並將預設執行模式改為雲端運算，企圖從架構層面徹底繞過本機端的逃逸路徑。然而，對於選擇繼續在本地端執行智能體的用戶而言，風險並未解除。Anthropic建議這類使用者必須手動強化系統安全設定，例如停用非特權使用者命名空間、限制檔案系統共享範圍，以及啟用嚴格的掛載保護機制。若未能落實這些調整，本機執行環境仍可能遭到突破。研究人員也與社群分享相關緩解措施，提醒開發者與管理員提高警覺。這起事件再次將AI智能體裝置端的執行安全推向鎂光燈下。當人工智慧工具獲得讀取本機檔案的權限時，整個安全邊界不再只仰賴AI本身的可靠性，更取決於底層虛擬機的隔離能力是否足夠堅固。

現有的漏洞顯示，即使廠商設計了兩層防護，若核心作業系統存在權限提升缺陷，這些防線依然可能瞬間瓦解。值得一提的是，Anthropic近期接連傳出資安疑慮。除了這次的沙箱逃逸漏洞，日前有用戶主動分享的Claude對話鏈結遭到Google、Bing等搜尋引擎公開索引，導致私鑰與公司機密意外外洩。同一時間，Alphabet因巨額投資Anthropic而帳面獲利驚人，顯示資本與算力深度交織的背後，信任與安全仍是不可忽視的關鍵變數。## 產業衝擊與反思

隨著AI智能體開始深入個人電腦與企業環境，用戶權限與AI能力之間的界線正變得日益模糊。過往傳統軟體的安全模型多依賴使用者帳戶管控與應用程式沙箱，但智能體的自動化特性讓攻擊面大幅擴張。業界專家指出，開發者除了要確保AI模型本身不受惡意提示影響，還需從系統層級強化隔離機制，防止類似漏洞再次出現。對於一般使用者而言，短時間內最保險的做法仍是以雲端執行取代本機運算，或至少嚴守最小權限原則，只授予絕對必要的檔案存取範圍。企業單位更應全面盤點內部使用AI智能體的情況，並配合系統更新與進階安全設定，降低被針對性攻擊的風險。

整體而言，Claude Cowork漏洞事件不僅暴露了單一產品的缺陷，更反映出整個AI生態系在資安準備度上的缺口。當智能體逐步取代手動操作，每一次權限授予背後所隱藏的信任假設，都必須重新受到檢視。未來AI廠商若無法在功能與安全之間取得平衡，類似事件恐怕只會層出不窮。