Claude Coworkをローカル実行していたMacユーザーの手元に、SSHキーやクラウド認証情報を読み取れる経路があったと報告されました。研究者は新規のClaude Coworkセッションにフォルダを一つ接続し、短いメッセージを一度送っただけで、サンドボックスの外まで到達できたと説明しています。原因はLinuxカーネルの脆弱性を突いてVM内でroot権限を取得し、書き込み可能なファイルシステム共有を通じてVMの外へ抜け出す経路で、問題にさらされていたとされるmacOSユーザーは約50万人。その後にリリースされた版は既定でクラウド実行になっていますが、ローカル実行を選ぶ人には条件が残ります。
Accomplish AIがClaude Coworkのサンドボックス突破を実証
Accomplish AIのセキュリティ研究者が、AnthropicのClaude Coworkのローカル実行モードで、仮想マシン（VM）のサンドボックスを抜け出し、Mac本体のファイルを読み取れることを示しました。読み取り可能だったファイルにはSSHキーやクラウドの認証情報が含まれていたとされています。この攻撃手法は「SharedRoot」と名付けられました。
Claude Coworkのローカル実行モードは、Linux VMの中でエージェントを動かす仕組みです。VMはホストであるMacのファイルシステムを、VirtioFSという書き込み可能なマウントを通じて共有しています。本来この共有はVM内のrootユーザーだけがアクセスできる想定でした。ところが研究者は、VM内の一般セッションユーザーからroot権限へ昇格する経路を見つけました。使われたのはCVE-2026-46331という、深刻度がほぼ10点満点中8点近くに設定されたLinuxカーネルの脆弱性で、「pedit COW」と呼ばれています。トラフィック制御サブシステムでコピーオンライトの処理が誤っており、共有ページキャッシュのメモリに範囲外書き込みができてしまう点が問題でした。
一度VM内でroot権限を得てしまえば、ログイン中のMacユーザーがアクセスできる範囲のものは、エージェントも同様に触れられる状態になったといいます。Accomplish AIのプリンシパル・セキュリティリサーチャーであるOren Yomtov氏は、The Hacker Newsの取材に対し「フォルダを一つ接続した新規のClaude Coworkセッションに、短いメッセージを一度送っただけで、エージェントがサンドボックスを脱出するのを見た」と語っています。同氏によれば、VMの中からホストのMacに到達し、接続したフォルダの外側にあるファイルまで読み書きできてしまい、その過程で許可を求めるプロンプトは一度も出なかったとのことです。
Accomplish AIは7月23日にこの発見を公表しました。ローカルでCoworkセッションを実行していたmacOSユーザーは、おおよそ50万人がこの問題にさらされていたとされています。
The Hacker Newsによると、Anthropicはこの報告を「informative（参考情報）」として処理し、直接の修正は出さなかったとのことです。公表後にリリースされた版では、既定でクラウド実行となっています。クラウド実行であれば、今回のようなローカルVM経由の脱出経路そのものが成立しません。また、あえてローカル実行を選ぶユーザーは、この問題にさらされたままになります。回避するには、非特権ユーザー名前空間を無効化する、ファイルシステム共有を制限する、Coworkのデーモンを厳格なマウント保護のもとで動かす、といった設定変更が必要とされています。同じ月には4つの研究チームが異なる方法でAIエージェントを破る事例を示しており、エージェントを取り巻くインフラがエージェントを過信しすぎているという共通の構造的な課題が浮かび上がっています。
用語補足：VirtioFSとサンドボックス
今回のCoworkでは、ローカル実行モードのLinux VMがホストのファイルシステムを書き込み可能なVirtioFSマウントで共有していました。この共有マウントはVM内のrootだけがアクセスできる想定でしたが、CVE-2026-46331という脆弱性によってセッションユーザーからrootへ権限昇格し、到達可能になりました。今回のローカル実行はLinux VM内で動作しており、そのVMのサンドボックスから脱出できた事例です。クラウド実行は今回のローカル脱出経路を回避します。
注目ニュース
MCP仕様、7月28日にステートレス通信へ移行
AIツールとサービスをつなぐ通信プロトコルMCP（Model Context Protocol）で、リリース候補版「MCP 2026-07-28 RC」が近く正式版になる見通しです。最大の変更点は通信のステートレス化で、これまで必要だったセッションID管理やハンドシェイクの初期化処理がなくなります。MCPクライアントのリクエストはどのMCPサーバに届いても処理できるようになり、複数サーバとロードバランサーを使ったスケーラブルな運用がしやすくなるとされています。GitHubは同じ7月28日に、この新仕様に対応した次期GitHub MCPサーバをリリースすると発表しました。セッションID関連のデータベース操作がなくなることで、接続がシンプルかつ高速になると説明されています。なお、全プロトコル実装をカバーするTier 1 SDKについては後方互換性が維持されるとのことです。
Googleの AI検索拡大、パブリッシャーがクローラー遮断を検討
Googleは検索ページ全体にAI Modeを展開し、Geminiチャットボットを使って直接的な回答を返す機能を広げています。ユーザーが外部サイトへ移動せずGoogle上にとどまり得るという状況が、検索流入に依存するパブリッシャーやメディア企業からの反発を招いています。
研究者がGitLabのRCE実証コードを公開
セキュリティ研究者depthfirstが7月24日、GitLabの脆弱性を突く実証コードを公開しました。対象の脆弱性はGitLabが6週間前の6月10日に修正済みのもので、パッチを未適用の自己管理型バージョン18.11.3サーバーで、gitユーザーとしてコマンドを実行できてしまいます。プロジェクトにプッシュ権限を持つ認証済みユーザーであれば、誰でもこの実証コードを実行できるとされています。攻撃者は細工したJupyterノートブックをコミットし、そのコミット差分を開くことでヒープの情報が漏洩する仕組みが使われています。実証コードが公開されたのは、パッチ公開から6週間後のことでした。