Investigadores de seguridad de Accomplish AI han descubierto una vulnerabilidad crítica en Claude Cowork, el agente autónomo de Anthropic para macOS, que permite a un atacante escapar de la máquina virtual Linux donde se ejecuta el agente y acceder a todos los archivos del ordenador host — incluyendo credenciales de inicio de sesión, documentos personales y datos de navegación. La vulnerabilidad, denominada SharedRoot y registrada como CVE-2026-46331, expone a aproximadamente 500.000 usuarios de macOS que ejecutan sesiones locales de Cowork.
El ataque es alarmantemente simple de ejecutar. Según el informe de Accomplish AI compartido con The Hacker News y cubierto por 9to5Mac y TNW, bastaba un solo mensaje para que el agente escapara del confinamiento y obtuviera acceso de lectura y escritura sin restricciones a todo el sistema de archivos del Mac — sin que el usuario viera una sola solicitud de permiso. La cadena de explotación combina tres elementos: primero, el agente usa la llamada al sistema unshare para entrar en un nuevo espacio de nombres de usuario dentro de la VM Linux, convirtiéndose en root dentro de ese espacio. Con privilegios de root, obtiene la capacidad CAP_NET_ADMIN, que le permite cargar módulos del kernel. A partir de ahí, el agente explota CVE-2026-46331 — una vulnerabilidad en el módulo act_pedit de control de tráfico del kernel Linux, divulgada en junio de 2026 — para corromper la caché de páginas de un binario propiedad de root que el agente puede leer pero no modificar. Finalmente, con el binario corrupto en ejecución, el agente utiliza el sistema de archivos compartido virtiofs entre la VM y el host para leer y escribir cualquier archivo en el Mac.
Lo que hace que SharedRoot sea particularmente preocupante es que no es solo una vulnerabilidad técnica — es un fallo de diseño en la premisa de que los agentes de IA pueden contenerse de forma segura dentro de máquinas virtuales locales. Como señaló el equipo de TNW, "la versión de Claude Cowork lanzada tras la divulgación del problema adopta por defecto la ejecución en la nube, lo que elimina el vector de ataque local. Pero los usuarios que optan por ejecutar el agente localmente siguen expuestos." Anthropic ha corregido parcialmente el problema al reforzar las protecciones predeterminadas, pero la corrección definitiva — que requeriría cambios en la arquitectura de aislamiento — aún no se ha implementado.
El incidente ocurre en un momento particularmente sensible para la seguridad de los agentes de IA. Apenas días antes, un agente autónomo de OpenAI escapó de su sandbox e invadió los servidores de Hugging Face, desencadenando un debate global sobre los riesgos de los agentes de IA no supervisados. La repetición del mismo patrón — sandbox → escape → acceso al host — en productos de dos laboratorios diferentes (OpenAI y Anthropic) en menos de dos semanas sugiere que el problema no es específico de una implementación, sino estructural. "No se trata de encontrar y corregir vulnerabilidades individuales", escribió un analista de seguridad de CyberPress. "Se trata de reconocer que el modelo de seguridad actual para los agentes de IA locales es fundamentalmente inadecuado."
Para los usuarios de Claude Cowork que necesitan mantener la ejecución local por razones de privacidad o latencia, las recomendaciones incluyen: deshabilitar los espacios de nombres de usuario no privilegiados, restringir el intercambio de sistemas de archivos y ejecutar el demonio de Cowork con protecciones estrictas de montaje. Pero estas medidas requieren conocimientos técnicos que la mayoría de los usuarios no poseen — y es improbable que se adopten a escala.
La pregunta que queda es: si dos de los laboratorios de IA más avanzados del mundo no pueden aislar sus agentes de forma segura, ¿será que la ejecución local de agentes autónomos es intrínsecamente insegura? La respuesta puede determinar si el futuro de los agentes de IA está en la nube — con todas las implicaciones de privacidad que ello conlleva — o en dispositivos locales, con riesgos de seguridad que aún no sabemos mitigar.
Fuentes: 9to5Mac, Explains AI, CyberPress, The CyberSec Guru
