Censé travailler à l'abri d'une machine virtuelle, l'agent Claude Cowork d'Anthropic pouvait en réalité s'en échapper sur Mac et lire l'intégralité des fichiers de l'utilisateur — clés SSH, identifiants cloud compris. Des chercheurs de la société Accomplish AI ont démontré la faille ; Anthropic ne l'a pas corrigée au sens strict, mais l'a contournée en basculant l'exécution vers le cloud.

Cowork, l'agent local d'Anthropic, tourne sur macOS dans une machine virtuelle Linux censée cloisonner ses actions du reste de l'ordinateur. C'est ce cloisonnement que les chercheurs ont fait sauter. Leur enchaînement, baptisé SharedRoot, exploite CVE-2026-46331, une faille d'élévation de privilèges du noyau Linux (surnommée « pedit COW », score CVSS 7,8) rendue publique et corrigée à la mi-juin. Une fois « root » à l'intérieur de la VM, l'agent atteignait le système de fichiers de l'hôte, monté en lecture-écriture dans le conteneur — et donc l'ensemble des documents du Mac.

Une porte laissée ouverte par la conception

Le problème n'est pas qu'un bug isolé : il tient à plusieurs choix d'architecture qui, combinés, transforment une VM de confinement en passoire. Selon MacGeneration et les rapports techniques, quatre faiblesses se cumulent : des user namespaces non restreints, des filtres système trop permissifs, le chargement automatique de modules noyau vulnérables, et surtout le montage de tout le disque de l'hôte plutôt que des seuls dossiers partagés. Il suffisait alors d'un noyau non patché pour que l'évasion devienne possible. Les données à portée : clés SSH, identifiants cloud, jetons d'authentification — de quoi rebondir bien au-delà de la machine.

L'exposition n'était pas théorique : environ 500 000 utilisateurs de Mac faisaient tourner Cowork en local avant la mise à niveau, selon les chercheurs relayés par The Hacker News.

Contourné plutôt que corrigé

La réponse d'Anthropic interroge. L'entreprise a classé le signalement comme « informatif », sans publier de correctif dédié à l'architecture de la VM. Le contournement passe par un changement de réglage : la dernière version de Cowork exécute désormais l'agent dans le cloud par défaut, ce qui met la plupart des utilisateurs hors de portée du scénario décrit. La nuance importe : ceux qui choisissent délibérément l'exécution locale restent exposés tant que leur système n'est pas à jour. Le trou n'est donc pas rebouché — il est déplacé et rendu opt-out.

L'épisode illustre un angle mort récurrent de la vague des agents IA : donner à un logiciel autonome un accès étendu au système hôte crée une surface d'attaque nouvelle, où la moindre faille de confinement se paie en fuite de secrets. On l'avait vu côté Microsoft avec SearchLeak, qui transformait Copilot en mouchard ; on le retrouve ici côté Anthropic, dont les rapports avec la sécurité et la Maison-Blanche sont déjà scrutés de près, et dont les outils Claude gagnent en autonomie plus vite qu'en garde-fous.