Claude Coworkとは？AIエージェントの基本と隔離構造
室谷代表取締役今回、AnthropicのAIエージェント「Claude Cowork」で、けっこう深刻な脆弱性が見つかったんですよね。セキュリティ研究者のAccomplish AIが発見した「SharedRoot」というやつです。
まずClaude Cowork自体がどういうものか、簡単に説明してもらえますか？
まずClaude Cowork自体がどういうものか、簡単に説明してもらえますか？
テキトー教師DotAI 認定講師はい、Claude CoworkはAnthropicが提供するデスクトップアプリで、ユーザーが指定したフォルダ内のファイルを読み書きしながらタスクを自動実行するAIエージェントなんです。例えば、プレゼン資料の作成やドキュメントの整形、ファイル整理なんかを任せられる。
ポイントは、処理がmacOS上のLinux仮想マシン（VM）内で行われ、そのVMがAppleのVirtualizationフレームワークを使って隔離されていることです。ユーザーは「接続するフォルダ」だけを指定して、エージェントはその範囲内でのみ動作する設計になっていました。
ポイントは、処理がmacOS上のLinux仮想マシン（VM）内で行われ、そのVMがAppleのVirtualizationフレームワークを使って隔離されていることです。ユーザーは「接続するフォルダ」だけを指定して、エージェントはその範囲内でのみ動作する設計になっていました。
室谷代表取締役設計としては、セキュリティをかなり意識してるように見えますよね。VM内のセッションごとに使い捨ての非特権ユーザーを割り当て、さらにseccompフィルタでシステムコールも制限してる。
でも、その多重防御に抜け穴があったと。
でも、その多重防御に抜け穴があったと。
発覚した脆弱性「SharedRoot」—VMからMacファイルへ脱出
テキトー教師DotAI 認定講師そうなんです。Accomplish AIの研究者Oren Yomtovさんは、こう言っています。
「フォルダを接続して、1つの短いメッセージを送っただけで、エージェントがサンドボックスを脱出した」と。接続したフォルダの外にあるMac上のあらゆるファイルに読み書きできてしまった。
しかも、その際に追加の許可ダイアログすら表示されない。
「フォルダを接続して、1つの短いメッセージを送っただけで、エージェントがサンドボックスを脱出した」と。接続したフォルダの外にあるMac上のあらゆるファイルに読み書きできてしまった。
しかも、その際に追加の許可ダイアログすら表示されない。
室谷代表取締役具体的にはどうやって脱出するんですか？
テキトー教師DotAI 認定講師脆弱性のコードネームは「SharedRoot」で、原因はホストのファイルシステム全体がVM内に読み書き可能でマウントされていたことです。具体的には、Macのルート「/」がVM内の「/mnt/.virtiofs-root」にマウントされていて、それがゲストルート（VM内のroot権限）からしか見えない設定になっていた。
つまり、VM内でroot権限を奪取できれば、ホストの全ファイルにアクセスできるわけです。
つまり、VM内でroot権限を奪取できれば、ホストの全ファイルにアクセスできるわけです。
室谷代表取締役なるほど。VM内でrootを取るために、研究者たちはLinuxカーネルの「act_pedit」というTraffic Control（tc）パケット編集サブシステムを利用したと。
さらに、CVE-2026-46331（pedit COWと呼ばれる脆弱性）を悪用してゲストルートを取得した。そこからホストのルートにアクセスして、Mac上のファイルを読み書きするという流れですね。
さらに、CVE-2026-46331（pedit COWと呼ばれる脆弱性）を悪用してゲストルートを取得した。そこからホストのルートにアクセスして、Mac上のファイルを読み書きするという流れですね。
テキトー教師DotAI 認定講師その通りです。Accomplish AIのCTOであるOr Hiltchさんは、ユーザーとネットワークの名前空間を作成することで、セッションにCAP_NET_ADMIN権限が与えられ、それがtc/act_peditのカーネルパスへのアクセスを可能にしたと説明しています。
名前空間自体は脆弱性ではなく、特権を通常のユーザーに与えてしまう設計上の問題です。
名前空間自体は脆弱性ではなく、特権を通常のユーザーに与えてしまう設計上の問題です。
なぜサンドボックスは突破されたのか：技術的メカニズム
室谷代表取締役もう少し深掘りすると、VM内の非特権ユーザーがどうやってrootを取れたのか、という話になります。seccompでシステムコールを制限しているはずですよね。
テキトー教師DotAI 認定講師はい、seccompフィルタは適用されていました。しかし、pedit COW脆弱性（CVE-2026-46331）は、カーネルのメモリ上書きを引き起こすもので、システムコールの制限をバイパスできたんです。
具体的には、act_peditモジュールをunprivileged user namespace内にロードし、copy-on-writeの競合状態を利用してroot権限を獲得する。そこからホストのファイルシステムにアクセスするわけです。
具体的には、act_peditモジュールをunprivileged user namespace内にロードし、copy-on-writeの競合状態を利用してroot権限を獲得する。そこからホストのファイルシステムにアクセスするわけです。
室谷代表取締役要するに、フォルダ共有の実装が雑だったんですね。ホストのルートを丸ごとVMにマウントしてしまったのが根本原因で、そこにゲストカーネルの脆弱性が組み合わさってエスケープが成立した。
ユーザーからすると「接続したフォルダだけを渡している」つもりが、実際にはシステム全体を渡していたことになる。
ユーザーからすると「接続したフォルダだけを渡している」つもりが、実際にはシステム全体を渡していたことになる。
テキトー教師DotAI 認定講師おっしゃる通りです。研究者は「1つのメッセージで脱出できた」と言っていますが、これは悪意あるプロンプトを送り込むだけで攻撃が成立する可能性を示しています。
実際には、ユーザーが意図しない操作をエージェントにさせるプロンプトインジェクション攻撃などと組み合わされると、大変なリスクになり得ます。
実際には、ユーザーが意図しない操作をエージェントにさせるプロンプトインジェクション攻撃などと組み合わされると、大変なリスクになり得ます。
影響範囲：約50万人のローカル実行ユーザーがリスク
室谷代表取締役影響範囲ですが、Accomplish AIの報告によると、パッチ前の時点で約50万人のmacOSユーザーがローカル実行のCoworkセッションを利用していたと。これが対象ですね。
テキトー教師DotAI 認定講師そうですね。Anthropicは脆弱性の報告を受けて「informative」としてクローズし、修正パッチは出さなかった。
その代わり、最新バージョンではデフォルトでクラウド実行に変更したんです。クラウド実行ならAIエージェントの処理はAnthropicのサーバー上で行われ、ローカルのVMは使われないので、この脆弱性の影響を受けません。
その代わり、最新バージョンではデフォルトでクラウド実行に変更したんです。クラウド実行ならAIエージェントの処理はAnthropicのサーバー上で行われ、ローカルのVMは使われないので、この脆弱性の影響を受けません。
室谷代表取締役でも、ローカル実行を選択したユーザーは依然としてリスクにさらされたままなんですよね。Anthropicとしては「クラウド実行がデフォルトになったから問題は解決した」というスタンスかもしれませんが、ローカル実行を好むユーザーにとっては、根本的な修正がされていないわけです。
テキトー教師DotAI 認定講師その通りです。SSH鍵やクラウド認証情報、個人文書など、Mac上のあらゆるデータにアクセス可能になるので、特に機密情報を扱うユーザーは注意が必要です。
私たちの講座でも、AIエージェントに権限を与えすぎないよう常に指導していますが、今回の事例はまさにその典型ですね。
私たちの講座でも、AIエージェントに権限を与えすぎないよう常に指導していますが、今回の事例はまさにその典型ですね。
Anthropicの対応と現時点での回避策
室谷代表取締役Anthropicの対応は「クラウド実行をデフォルトにする」というものでした。しかし、ユーザー側でローカル実行を選んでいる場合はどうすればいいんでしょう？
テキトー教師DotAI 認定講師現時点では、以下の回避策が考えられます。
- クラウド実行を強制する: 設定で必ずクラウド実行を選ぶ。デフォルトがクラウド実行になっているので、変更しなければ大丈夫。
- 接続するフォルダを最小限にする: ただし、脆弱性の性質上、接続したフォルダ以外にもアクセス可能なので、これだけでは不十分。
- 機密ファイルのアクセス権を制限する: Macのファイル権限で、AIエージェントが使うユーザーアカウントのアクセス範囲を制限する。
- 一時的にCoworkの使用を控える: ローカル実行が必要な場合、Anthropicが正式なパッチを出すまで利用を控える。
室谷代表取締役根本的には、Anthropicがホストファイルシステムのマウント方法を見直すべきですね。読み取り専用にするか、接続フォルダだけをマウントするように修正しないと。
私の会社MYUUUでもAIエージェントをいくつか使っていますが、こういう脆弱性があると思うと、サードパーティのエージェントを安易に信用できなくなります。
私の会社MYUUUでもAIエージェントをいくつか使っていますが、こういう脆弱性があると思うと、サードパーティのエージェントを安易に信用できなくなります。
テキトー教師DotAI 認定講師全くです。AIエージェントのセキュリティは、特にファイルアクセス権限の設計が重要だと再認識させられる事件でした。
詳しくはChatGPT警告の種類と対処法でも解説していますが、AIに対する過度な信頼は危険です。
詳しくはChatGPT警告の種類と対処法でも解説していますが、AIに対する過度な信頼は危険です。
よくある質問（FAQ）—Claude Coworkの安全性と使い方
室谷代表取締役最後に、読者の皆さんからよく聞かれそうな質問に答えておきましょう。
テキトー教師DotAI 認定講師はい。
Q: Claude Coworkは安全に使えますか？ A: 最新版ではデフォルトでクラウド実行になるため、設定を変更しなければ安全です。ただし、ローカル実行に変更すると脆弱性の影響を受ける可能性があります。Anthropicが正式な修正をリリースするまでは、クラウド実行のまま使用することを推奨します。
Q: この脆弱性はどのように発見されましたか？ A: セキュリティ企業Accomplish AIの研究者が、フォルダを接続してメッセージを送るだけでサンドボックスから脱出できることを確認しました。詳細はThe Hacker Newsが報じています。
Q: 影響を受けるユーザーはどのくらいいるのですか？ A: パッチ前の時点で約50万人のmacOSユーザーがローカル実行のCoworkセッションを利用していたと推定されています。現在はデフォルトがクラウド実行になったため、新規ユーザーは影響を受けにくくなっています。
Q: 対策はありますか？ A: クラウド実行を維持すること、機密ファイルのアクセス権を制限すること、Anthropicのアップデートを待つことが有効です。
