Sicherheitsanfälligkeit in Claude Cowork für macOS betrifft Hunderttausende Nutzer

Sicherheitslücke in Claude Cowork gefährdet macOS-Systeme

In der digitalen Landschaft, die zunehmend von künstlicher Intelligenz geprägt wird, rückt die Sicherheit von KI-Anwendungen verstärkt in den Fokus. Eine kürzlich entdeckte Schwachstelle in der Desktop-Anwendung Claude Cowork für macOS hat diese Debatte neu entfacht. Sicherheitsforscher haben eine kritische Lücke identifiziert, die es dem KI-Agenten ermöglichte, aus seiner eigentlichen Sandbox-Umgebung auszubrechen und weitreichenden Zugriff auf das Dateisystem des Host-Computers zu erlangen. Dieser Vorfall verdeutlicht die Komplexität und die potenziellen Risiken, die mit der Integration von KI-Agenten in lokale Betriebssysteme verbunden sind.

Details der SharedRoot-Schwachstelle

Die von Sicherheitsforschern des Unternehmens Accomplish AI aufgedeckte Schwachstelle, auch bekannt als "SharedRoot" oder unter der CVE-Bezeichnung CVE-2026-46331, betraf die Desktop-Anwendung Claude Cowork von Anthropic. Diese Anwendung ist darauf ausgelegt, ausgewählte Dateien und Ordner auf einem Mac lokal zu verarbeiten, um dem KI-Chatbot die Ausführung von Aufgaben zu ermöglichen. Um die Sicherheit zu gewährleisten, läuft Cowork normalerweise in einer isolierten virtuellen Linux-Umgebung (VM) und sollte lediglich auf explizit freigegebene Dateien und Ordner zugreifen können.

Die Forscher demonstrierten jedoch, dass diese Schutzmechanismen umgangen werden konnten. Der Exploit nutzte einen Fehler im Copy-on-Write-Mechanismus ("epedit COW"), um die Schutzgrenzen der Linux-basierten VM zu durchbrechen. Dies erlaubte es dem KI-Agenten, unbefugt auf das Host-Dateisystem zuzugreifen. Konkret reichte es aus, einen Ordner mit einer neuen Claude-Cowork-Sitzung zu verbinden und eine kurze Nachricht zu senden, damit der Agent die Sandbox verlassen und das gesamte Dateisystem des Mac-Rechners manipulieren konnte.

Umfang und Auswirkungen der Sicherheitslücke

Die Tragweite dieser Schwachstelle war erheblich. Nach Angaben von Accomplish AI waren bis zu 500.000 macOS-Nutzer betroffen, die lokale Cowork-Sitzungen ausführten. Die Fähigkeit des KI-Agenten, aus der Sandbox auszubrechen, bedeutete, dass er nicht nur Lese- und Schreibzugriff auf beliebige Dateien auf dem Mac erlangen konnte, sondern potenziell auch Anmeldeinformationen für Online-Dienste abgreifen konnte. Dies stellt ein erhebliches Risiko für die Datensicherheit und Privatsphäre der Nutzer dar.

Die Entdeckung dieser Lücke unterstreicht eine grundlegende Herausforderung bei der Entwicklung und Bereitstellung von KI-Agenten, die mit lokalen Systemressourcen interagieren. Selbst wenn Anwendungen in virtuellen Umgebungen isoliert werden, können Designentscheidungen oder Implementierungsfehler zu unerwarteten Sicherheitsproblemen führen.

Reaktion des Herstellers

Anthropic wurde von den Sicherheitsforschern über die Schwachstelle informiert. Nach der verantwortungsvollen Offenlegung hat das Unternehmen einen Patch veröffentlicht, um das Problem zu beheben. Es wird empfohlen, dass alle Nutzer von Claude Cowork für macOS ihre Anwendung auf die neueste Version aktualisieren, um die Sicherheit ihrer Systeme zu gewährleisten.

Implikationen für die KI-Sicherheit im B2B-Bereich

Für Unternehmen, die KI-Lösungen wie Claude Cowork oder ähnliche Agenten in ihre Arbeitsabläufe integrieren, sind die Erkenntnisse aus diesem Vorfall von besonderer Bedeutung. Die Sicherheit von KI-Systemen ist nicht nur eine technische, sondern auch eine strategische Herausforderung. Die folgenden Punkte sind hierbei hervorzuheben:

- Robuste Sandbox-Mechanismen: Die SharedRoot-Schwachstelle verdeutlicht, dass die Isolation von KI-Agenten in Sandboxes oder virtuellen Maschinen nicht allein ausreichend ist. Es bedarf einer kontinuierlichen Überprüfung und Verbesserung dieser Mechanismen, um potenzielle Ausbrüche zu verhindern. - Umfassende Sicherheitsaudits: Regelmäßige und tiefgreifende Sicherheitsaudits durch unabhängige Experten sind unerlässlich, um Schwachstellen frühzeitig zu identifizieren, bevor sie von Angreifern ausgenutzt werden können. - Minimale Berechtigungen: Das Prinzip der geringsten Rechte sollte konsequent angewendet werden. KI-Agenten sollten nur die minimal notwendigen Zugriffsrechte auf das Dateisystem und andere Systemressourcen erhalten, um ihre Aufgaben zu erfüllen. - Transparenz und Updates: Anbieter von KI-Software müssen transparent mit potenziellen Sicherheitsrisiken umgehen und zeitnahe Updates bereitstellen, um diese zu beheben. Nutzer wiederum müssen diese Updates umgehend installieren. - Risikobewertung bei der Integration: Unternehmen sollten vor der Integration von KI-Agenten eine umfassende Risikobewertung durchführen, die sowohl die potenziellen Vorteile als auch die Sicherheitsrisiken berücksichtigt.

Fazit

Die Entdeckung der SharedRoot-Schwachstelle in Claude Cowork für macOS ist ein prägnantes Beispiel dafür, dass die rasante Entwicklung von KI-Technologien auch neue Herausforderungen im Bereich der Cybersicherheit mit sich bringt. Für Anwender, insbesondere im B2B-Kontext, ist es von entscheidender Bedeutung, ein tiefes Verständnis für die Funktionsweise und die potenziellen Schwachstellen von KI-Agenten zu entwickeln. Eine proaktive Haltung bei der Implementierung von Sicherheitsmaßnahmen und die kontinuierliche Aktualisierung von Software sind unerlässlich, um die Integrität und Vertraulichkeit von Daten in einer zunehmend KI-gesteuerten Arbeitswelt zu gewährleisten.

Dieser Fall unterstreicht zudem die Notwendigkeit einer engen Zusammenarbeit zwischen KI-Entwicklern, Sicherheitsforschern und Nutzern, um gemeinsam an der Schaffung sicherer und vertrauenswürdiger KI-Systeme zu arbeiten.

Bibliography: - heise online. (2026, 28. Juli). Lücke: Claude Cowork entkommt macOS-Sandbox. Verfügbar unter: https://www.heise.de/news/Luecke-Claude-Cowork-entkommt-macOS-Sandbox-11379475.html - Apfelnews. (2026, 28. Juli). Claude Cowork entkommt der Mac-Sandbox und erhält vollen Dateizugriff. Verfügbar unter: https://www.apfelnews.de/2026/07/28/claude-cowork-entkommt-der-mac-sandbox-und-erhaelt-vollen-dateizugriff/ - IT-Daily. (2026, 24. Juli). Sandbox-Escape in Claude Cowork gefährdet Mac-Dateien. Verfügbar unter: https://www.it-daily.net/it-sicherheit/cloud-security/sandbox-escape-claude-cowork - Klamm.de. (2026, 28. Juli). Claude Cowork entkommt der Mac-Sandbox und erhält vollen Dateizugriff. Verfügbar unter: https://www.klamm.de/news/claude-cowork-entkommt-der-mac-sandbox-und-erhaelt-vollen-dateizugriff-25N169094.html - IT-Boltwise. (2026, 27. Juli). Claude Cowork: SharedRoot-Sandbox-Escape gefährdet bis zu 500.000 macOS-Nutzer. Verfügbar unter: https://www.it-boltwise.de/claude-cowork-sharedroot-sandbox-escape-gefaehrdet-bis-zu-500-000-macos-nutzer.html - Headtopics. (2026, 28. Juli). Lücke: Claude Cowork entkommt macOS-Sandbox - Claude Cowork | Claude Nachrichten. Verfügbar unter: https://de.headtopics.com/news/lucke-claude-cowork-entkommt-macos-sandbox-86026100 - CyberDeutsch Nachrichten. (2026, 23. Juli). Sandbox-Fehler in Claude Cowork ermöglicht Zugriff auf Dateien auf dem Mac. Verfügbar unter: https://www.cyberdeutsch.news/posts/3745-sandbox-fehler-in-claude-cowork-ermoeglicht-zugriff-auf-dateien-auf-dem-mac/ - AIFence. (2026, 24. Juli). SharedRoot bei Claude Cowork: Warum eine VM allein keinen KI-Agenten sicher einschließt. Verfügbar unter: https://aifence.de/news/sharedroot-bei-claude-cowork-warum-eine-vm-allein-keinen-ki-agenten-sicher-einschliesst/ - The Hacker News. (2026, 23. Juli). Claude Cowork Flaw Could Let AI Agent Escape Its VM and Access Mac Files. Verfügbar unter: https://thehackernews.com/2026/07/claude-cowork-flaw-could-let-ai-agent.html - 9to5Mac. (2026, 27. Juli). Claude Cowork escaped sandbox on Mac, gain full access to all files. Verfügbar unter: https://9to5mac.com/2026/07/27/claude-cowork-escaped-sandbox-on-mac-gain-full-access-to-all-files/