MacSouverain

FREN
radar

Claude Cowork en local, l'agent sort du bac à sable

Sur macOS en mode local, Claude Cowork monte tout ton disque dans la VM de l'agent. Un dossier connecté, un message, et il en sort sans rien demander.

Ce que Cowork monte vraiment


En mode d’exécution local sur macOS, Claude Cowork monte l’intégralité du système de fichiers de ton Mac en lecture-écriture à l’intérieur de la machine virtuelle Linux où tourne l’agent, sur un point de montage nommé /mnt/.virtiofs-root, visible du seul compte guest-root. Tout le disque. Pas le dossier que tu as connecté. Le bac à sable est un bac, il n’a juste pas de bords. La recherche, baptisée SharedRoot, est signée Oren Yomtov, chercheur principal en sécurité chez Accomplish AI, publiée le 23 juillet 2026 et relayée le jour même par The Hacker News.


La documentation d’Anthropic annonce pourtant, pour le mode local, un accès fichier « limité aux dossiers que le membre a connectés ». C’est la promesse. Le montage, lui, expose l’hôte entier.


L’évasion se déroule d’un bloc. L’agent démarre en utilisateur de session non privilégié, s’octroie root dans un espace de noms utilisateur, puis fait autocharger par le noyau un module du sous-système Traffic Control qui porte CVE-2026-46331, dite pedit COW : le simple fait de le référencer suffit à le charger. La faille est notée 7.8 au CVSS 3.1 par kernel.org sur sa fiche NVD, 6.7 par Red Hat, avec un exploit public, PACKET_EDIT_MEME.c, disponible depuis le 17 juin. La corruption du cache de pages empoisonne un binaire mis en cache, que le démon coworkd réexécute ensuite en root. À l’arrivée, guest-root a tout le disque de l’hôte entre les mains.


The Hacker News avance environ 500 000 utilisateurs macOS en session locale, un ordre de grandeur qu’aucune méthode publiée n’étaye et que le billet des chercheurs ne reprend pas. Retiens l’échelle, pas le chiffre. Ce qui est certain, c’est qu’aucune invite de permission n’apparaît à aucun moment de la chaîne.


Sur le correctif, il faut être précis, parce que le sujet se prête au raccourci. Anthropic a clôturé le rapport en « informative », sans correctif dédié. Dans le même temps, Cowork est passé à l’exécution cloud par défaut : Anthropic ne publie pas de numéro de version pour Cowork, mais date le changement du 7 juillet 2026 et le qualifie de bêta en déploiement graduel, à partir du plan Max. Les chercheurs notent que la chaîne d’évasion locale « ne semble pas s’appliquer » côté cloud, sans l’avoir auditée. La mitigation est réelle. Elle ne referme rien pour ceux qui exécutent en local, et elle n’a pas encore atteint tout le monde.


La VM donne l’impression d’un mur


La phrase vaut au-delà de cette faille : le bac à sable d’un agent n’est pas une frontière de sécurité s’il monte tout le disque. La machine virtuelle donne l’impression d’un cloisonnement, le montage l’annule silencieusement. Entre le dossier que tu crois partager et ton compte utilisateur complet, il y a un gouffre que rien dans l’interface ne signale.


À lire : L’ANSSI place Claude Cowork et OpenClaw en alerte


La chaîne suppose que l’agent exécute déjà du code hostile. Sauf que c’est son métier : ingérer un contenu que tu ne contrôles pas, page web, PDF, ticket, puis agir. Sur ce type d’outil, l’injection de prompt n’a rien d’une hypothèse de laboratoire. C’est l’entrée principale.


À lire : Hugging Face compromis, et ton modèle local ?


Les chercheurs recommandent quatre durcissements, et précisent que chacun, seul, suffit à casser la chaîne. Un seul traite pourtant la cause : ne monter que les dossiers réellement connectés. Les trois autres retirent une marche à cet escalier-là, le quatrième supprime l’escalier.


Le défaut n’est pas isolé, il fait classe. Un modèle qui s’échappe de son bac de test, un protocole d’agent qui expose l’exécution de code, maintenant un agent à qui on a monté le disque entier. Le point commun n’est jamais le bug, c’est la générosité du périmètre accordé par défaut.


À lire : MCP d’Anthropic, un défaut de conception expose 200 000 instances


Ce que tu fais maintenant


1. Vérifie le mode d’exécution de ton Claude Cowork. Le cloud est devenu le défaut, mais en bêta et par vagues depuis le 7 juillet : ne présume pas que ton compte l’a reçu, va le lire dans les réglages. Si tu es en local, volontairement ou en héritant d’un réglage ancien, tu es concerné.


2. Ne lance jamais une session locale depuis un compte macOS qui héberge ton Trousseau, tes clés SSH ou le fichier de ton gestionnaire de mots de passe. Un compte utilisateur dédié à l’agent, vide de secrets, coûte cinq minutes et retire tout intérêt à l’évasion.


3. Traite tout ce que l’agent ingère comme du code hostile. Une page web, une pièce jointe, un ticket client : c’est l’entrée, et elle n’est pas filtrée. Tu ne lancerais pas ce contenu dans un script sans regarder, ne le donne pas à mâcher à un agent qui a les droits d’écriture.


Sources