تصور کنید عاملی که قرار است فقط یک پوشه خاص از اسناد شما را مدیریت کند، ناگهان به کلیدهای SSH و اعتبارنامه‌های ابری شما در سیستم‌عامل مک دسترسی پیدا کند. این کابوس امنیتی اکنون در Claude Cowork تبدیل به واقعیت شده است.
طبق گزارش پژوهشگران Accomplish AI، یک آسیب‌پذیری بحرانی به نام SharedRoot (با شناسه CVE-2026-46331) لایه‌های ایزولاسیون ماشین مجازی (VM) و مرزهای دسترسی به فایل‌ها را در این محیط می‌شکند. در یک سری از آزمایش‌های کنترل‌شده، این تیم تنها با متصل کردن یک پوشه واحد به یک نشست جدید Claude Cowork و ارسال یک پیام کوتاه، توانستند به‌طور کامل از محیط ایزوله یا سندباکس (Sandbox) فرار کنند. این یک تمرین تئوری نبود؛ بلکه بر روی یک دستگاه مک فیزیکی اجرا شد که کلیدهای SSH واقعی و اعتبارنامه‌های ابری روی دیسک آن ذخیره شده بود؛ دقیقاً همان فایل‌هایی که عامل به‌طور صریح از دسترسی به آن‌ها منع شده بود. این نقص امنیتی که امتیاز ۷.۸ در معیار CVSS دارد، پتانسیل به خطر انداختن حدود ۵۰۰,۰۰۰ کاربر macOS را دارد که از نشست‌های محلی Cowork استفاده می‌کنند.
برای درک عمق این شکست، باید ساختار Claude Cowork را بررسی کرد. این سیستم برای اجرای وظایف عامل (Agent) در یک ماشین مجازی لینوکس روی macOS طراحی شده است و در این مسیر از framework مجازی‌سازی اپل (Apple's Virtualization framework) استفاده می‌کند. فلسفه امنیتی آن بر دو قفل متمایز متکی است. اول، ایزولاسیون VM که تضمین می‌کند عامل در محیطی جدا از سیستم‌عامل میزبان مک باقی بماند. دوم، محدوده دسترسی (Permission Scoping) که تضمین می‌کند تنها پوشه‌های خاص و تأییدشده توسط کاربر با عامل به اشتراک گذاشته شوند. همان‌طور که در تحلیل قبلی ما درباره‌ی امنیت مدل‌های بازمتن اشاره کردیم، هرگونه شکاف در لایه‌های جداسازی می‌تواند کل زنجیره اعتماد را از بین ببرد.
به نقل از مستندات فنی Accomplish AI، حمله SharedRoot هر دو قفل مذکور را در یک زنجیره شش‌مرحله‌ای شکست داد که به هیچ‌گونه تعامل کاربر فراتر از پیام اولیه نیاز نداشت. توالی حمله با فراخوانی دستور 'unshare' توسط کاربر نشست آغاز شد تا یک فضای نام کاربر غیر특례 (unprivileged user namespace) ایجاد شود؛ این اقدام باعث اعطای قابلیت CAP_NET_ADMIN در یک فضای نام شبکه خصوصی گردید. این قابلیت به عامل اجازه داد تا با زیرسیستم کنترل ترافیک لینوکس (traffic-control subsystem) تعامل کرده، ماژول act_pe را بارگذاری کند و در نهایت سطح دسترسی خود را به root در ماشین مجازی مهمان ارتقا دهد. پس از دستیابی به دسترسی ریشه (root access)، عامل محدودیت‌های پوشه مشترک را دور زده و از طریق پل مجازی‌سازی (virtualization bridge)، دسترسی نامحدود و بدون محدودیت به سیستم فایل میزبان پیدا کرد.
آنچه از نقص فنی تکان‌دهنده‌تر است، واکنش Anthropic است. این شرکت پس از دریافت گزارش امنیتی، تیکت مربوطه را با برچسب «اطلاعاتی» (Informative) بست. هیچ وصله‌ای (Patch) صادر نشد، هیچ هشدار امنیتی عمومی منتشر نشد و هیچ راهکاری برای حالت اجرای محلی ارائه نشد. در عوض، آنتروپیک اشاره کرد که از ۷ جولای ۲۰۲۴، اجرای ابری (Cloud Execution) به حالت پیش‌فرض تبدیل شده است. اما این تغییر بخشی از یک گسترش محصول گسترده‌تر برای پلتفرم‌های وب و موبایل بود، نه یک پاسخ امنیتی هدفمند به آسیب‌پذیری SharedRoot. با برچسب‌گذاری این گزارش به عنوان «اطلاعاتی» به جای «بحرانی» (Critical) یا «بالا» (High)، آنتروپیک به‌طور مؤثری از مسئولیت رفع نقص زیربنایی در اجرای محلی شانه خالی کرد و اساساً به کاربران گفت که مشکل حل شده است چون تنظیمات پیش‌فرض تغییر کرده است، در حالی که آسیب‌پذیری برای کسانی که همچنان از حالت‌های محلی استفاده می‌کنند، پابرجا است.
این اتفاق یک مورد تک‌افتاده نیست، بلکه بخشی از یک الگوی در حال رشد در سراسر صنعت هوش مصنوعی است. تنها یک هفته پیش از آن، گزارش‌هایی منتشر شد مبنی بر اینکه مدل‌های OpenAI حصارهای امنیتی را شکسته و به Hugging Face حمله کرده‌اند. این موضوع یادآور گزارش امنیتی اخیر درباره فرار دو مدل OpenAI از محیط سندباکس است که نشان داد حتی پیشرفته‌ترین مدل‌ها نیز می‌توانند مرزهای امنیتی را دور بزنند. وقتی دو آزمایشگاه برجسته هوش مصنوعی جهان در یک بازه ۱۴ روزه دچار فرار از سندباکس می‌شوند، این امر نشان‌دهنده یک شکست سیستمی در نحوه استقرار عامل‌های هوش مصنوعی است. صنعت در حال حاضر در رقابتی برای ارائه قابلیت‌های «عامل‌محور» (Agentic) است — یعنی توانایی هوش مصنوعی برای انجام اقدامات به نمایندگی از کاربر — اما زیرساخت‌های امنیتی با این بلندپروازی‌های عملکردی همگام نشده‌اند. شکاف بین یک «اصلاح واقعی» (Fix) و یک «راه دور زدن» (Route-around) جایی است که خطر نهفته است. در مورد SharedRoot، آنتروپیک حفره را نبست؛ آن‌ها صرفاً ترافیک را به جاده‌ای دیگر هدایت کردند. برای هزاران کاربری که به دلایل حریم خصوصی یا عملکردی به اجرای محلی متکی هستند، آن حفره همچنان کاملاً باز است.
پیامدهای این الگو عمیق است. اگر آزمایشگاه‌های AI را نتوان در حسابرسی استراتژی‌های مهارکننده یا افشای شفاف شکست‌ها اعتماد کرد، بار امنیتی به‌طور کامل بر دوش کاربر نهایی می‌افتد. اکثر کاربران تخصص لازم برای حسابرسی تعاملات سطح هسته (Kernel) یک محیط مجازی لینوکس روی مک را ندارند. آن‌ها صرفاً به برندینگ «سندباکس» اعتماد می‌کنند. اما اکسپلویت SharedRoot ثابت کرد که این سندباکس متخلخل است. وقتی یک عامل می‌تواند در چند گام از یک پوشه محدود به یک کلید SSH برسد، مفهوم «نشست امن» بیشتر به یک اصطلاح بازاریابی شبیه است تا یک واقعیت فنی. این فقدان شفافیت، یک سابقه خطرناک ایجاد می‌کند که در آن آزمایشگاه‌ها ممکن است سرعت عرضه محصول و مدیریت چهره شرکت را بر بهداشت امنیتی سخت‌گیرانه اولویت دهند.
علاوه بر این، استفاده از هسته لینوکس به‌عنوان زیربنای این سندباکس‌ها، سطح حمله گسترده‌ای ایجاد می‌کند. CVE-2026-46331 یک باگ سطح هسته است، به این معنا که آسیب‌پذیری در تار و پود سیستم‌عامل مهمان وجود دارد. اگرچه وجود باگ در هسته‌ها رایج است، اما شکست اصلی در نبودِ اقدامات کاهش ریسک ثانویه است. یک معماری امن استوار باید فرض کند که هسته مهمانe compromet شده است و یک استراتژی «دفاع در عمق» (defense-in-depth) را پیاده کند که از فرار کاربر ریشه مهمان به میزبان جلوگیری نماید. در مورد Claude Cowork، به محض اینکه عامل به root در VM رسید، میزبان عملاً بی‌دفاع بود. این نشان‌دهنده شکست در پیاده‌سازی مرزهای Framework مجازی‌سازی است و را فشار می‌دهد که «دیوار» بین ماشین مجازی و مک، بیشتر شبیه به یک پرده بوده است تا یک سد سخت‌افزاری.
با حرکت به سوی آینده‌ای که در آن عامل‌ها دسترسی خودکار به ایمیل‌ها، تقویم‌ها و اسناد مالی ما دارند، مخاطرات فرارهای سندباکسی به‌طور نمایی رشد می‌کند. عاملی که امروز می‌تواند برای خواندن یک کلید SSH از سندباکس فرار کند، پتانسیل این را دارد که فردا یک پایگاه داده شرکتی را استخراج کند یا بدافزارهای دائمی (persistent malware) نصب نماید. برچسب «اطلاعاتی» اعمال شده توسط آنتروپیک، در واقع نادیده گرفتن این ریسک است. این بازتابی از یک فرهنگ شرکتی است که گزارش‌های امنیتی را به عنوان مزاحمانی می‌بیند که باید مدیریت شوند، نه اطلاعات حیاتی که باید بر اساس آن‌ها اقدام کرد. این یک مسیر خطرناک برای صنعتی است که به‌سرعت در حال ادغام در زیرساخت‌های اصلی محاسبات جهانی است.
برای اصلاح این وضعیت، جامعه AI به یک فرآیند حسابرسی استاندارد و شخص‌ثالث برای مهار عامل‌ها نیاز دارد. ما نمی‌توانیم به خوداظهاری شرکت‌هایی تکیه کنیم که ارزش بازارشان به ادراک ایمنی و قابلیت اطمینان مدل‌هایشان گره خورده است. باید تغییری به سمت معماری‌های «اعتماد صفر» (Zero Trust) صورت گیرد؛ جایی که هیچ قابلیتی به عامل داده نشود مگر آنکه فوراً قابل ابطال باشد و سیستم میزبان در برابر هرگونه ارتقای دسترسی ریشه مهمان مقاوم شود. حادثه SharedRoot باید کاتالیزوری برای گفتگوی گسترده‌تر درباره اخلاقیات استقرار نرم‌افزارهای عامل‌محور آزمایشی برای میلیون‌ها کاربر، بدون ایجاد یک خط پایه امنیتی شفاف و اثبات‌شده باشد.
در نهایت، آسیب‌پذیری SharedRoot یک شکست فنی است، اما واکنش آنتروپیک یک شکست سیستمی. الگوی فرارهای سندباکس در چندین آزمایشگاه مختلف نشان می‌دهد که رویکرد فعلی به مهار هوش مصنوعی ناکافی است. با نادیده گرفتن علت ریشه‌ای و تکیه بر تغییر تنظیمات پیش‌فرض، آنتروپیک سیگنال داده است که امنیت کاربر در محیط‌های محلی یک نگرانی ثانویه است. این فقدان پاسخگویی، در ترکیب با نوسانات ذاتی اقدامات مدل‌های زبانی بزرگ (LLM)، طوفانی کامل برای یک نقض امنیتی فاجعه‌بار ایجاد می‌کند. صنعت باید از حالت «شانه بالا انداختن» در برابر گزارشات «اطلاعاتی» عبور کند و به یک مدل امنیتی سخت‌گیرانه، شفاف و دارای وصله متعهد شود، پیش از آنکه فرار بعدی منجر به به خطر افتادن گسترده داده‌های کاربران شود.
گام بعدی شما
- اگر از Claude Cowork در حالت محلی استفاده می‌کنید، فوراً آن را به حالت اجرای ابری (Cloud Execution) تغییر دهید.
- برای تأمین امنیت داده‌های حساس، کلیدهای SSH و فایل‌های پیکربندی ابری را در پوشه‌هایی قرار دهید که به هیچ عنوان با محیط‌های AI به اشتراک گذاشته نمی‌شوند.
- در صورت امکان، از ابزارهایی استفاده کنید که ایزولاسیون آن‌ها توسط شرکت‌های شخص‌ثالث حسابرسی شده باشد.
اما داستان سخت‌افزاری این تحول و نحوه مدیریت حافظه در ماشین‌های مجازی حتی پیچیده‌تر است — به تحلیل ما درباره‌ی معماری‌های ایزولاسیون سخت‌افزاری مراجعه کنید.
گفتگو