{"id":1735,"date":"2026-07-23T16:10:06","date_gmt":"2026-07-23T16:10:06","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/23\/la-falla-de-claude-cowork-podria-permitir-que-el-agente-ai-escape-de-su-maquina-virtual-y-acceda-a-archivos-de-mac-cyberdefensa-mx\/"},"modified":"2026-07-23T16:10:06","modified_gmt":"2026-07-23T16:10:06","slug":"la-falla-de-claude-cowork-podria-permitir-que-el-agente-ai-escape-de-su-maquina-virtual-y-acceda-a-archivos-de-mac-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/23\/la-falla-de-claude-cowork-podria-permitir-que-el-agente-ai-escape-de-su-maquina-virtual-y-acceda-a-archivos-de-mac-cyberdefensa-mx\/","title":{"rendered":"La falla de Claude Cowork podr\u00eda permitir que el agente AI escape de su m\u00e1quina virtual y acceda a archivos de Mac \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Investigadores de ciberseguridad han descubierto una vulnerabilidad de escape de sandbox en Anthropic Claude Cowork<\/a> eso hace posible salir de los l\u00edmites de una m\u00e1quina virtual (VM) de Linux dentro de la cual se ejecuta el agente para leer o escribir archivos en cualquier lugar de la Mac.<\/p>\n

Accomplish AI, que comparti\u00f3 detalles de la vulnerabilidad con The Hacker News antes de su publicaci\u00f3n, dijo que alrededor de 500.000 usuarios de macOS que ejecutaban sesiones locales de Cowork se vieron afectados antes de que se parcheara. ha sido nombrado en clave Ra\u00edz compartida<\/b>.<\/p>\n

\u00abConectamos una carpeta a una nueva sesi\u00f3n de Claude Cowork, enviamos un mensaje corto y vimos al agente escapar de la zona de pruebas\u00bb, dijo Oren Yomtov, investigador principal de seguridad de Accomplish AI, dicho<\/a>. \u00abDesde el interior de la m\u00e1quina virtual, lleg\u00f3 al host Mac y ley\u00f3 y escribi\u00f3 archivos por todas partes, muy fuera de la carpeta que hab\u00edamos conectado, sin solicitar permiso en ninguna parte\u00bb.<\/p>\n

Con este nivel de acceso, el agente puede acceder a cualquier dato almacenado en la Mac a trav\u00e9s de la cuenta del usuario, incluidas claves SSH, credenciales de la nube y otra informaci\u00f3n valiosa.<\/p>\n

Tras una divulgaci\u00f3n responsable, Anthropic cerr\u00f3 el informe como informativo sin publicar una soluci\u00f3n. Dicho esto, la \u00faltima versi\u00f3n de Cowork utiliza de forma predeterminada la ejecuci\u00f3n en la nube, lo que soluciona el problema. Pero los usuarios que optan por ejecutar el agente localmente todav\u00eda est\u00e1n expuestos al problema.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

La aplicaci\u00f3n de escritorio macOS de Claude Cowork se ejecuta como el usuario que ha iniciado sesi\u00f3n en el sistema. El trabajo real relacionado con el agente, por otro lado, ocurre en una m\u00e1quina virtual Linux creada a trav\u00e9s de Apple. Marco de virtualizaci\u00f3n<\/a>. Cada sesi\u00f3n tiene su propio usuario desechable sin privilegios, junto con un filtro de Modo de Computaci\u00f3n Segura (seccomp) para el sandboxing de aplicaciones. Las carpetas conectadas por el usuario se comparten en la VM mediante un demonio ra\u00edz llamado coworkd.<\/p>\n

\u00abUn detalle importa m\u00e1s que el resto: el sistema de archivos del host se comparte en esa VM de lectura y escritura\u00bb, explic\u00f3 Yomtov. \u00abTodo el host ‘\/’ est\u00e1 montado de modo que solo el invitado ra\u00edz dentro de la VM pueda verlo, en \/mnt\/.virtiofs-root\u00bb.<\/p>\n

Debido a que todo el sistema de archivos del host est\u00e1 montado en la m\u00e1quina virtual del agente con privilegios de lectura y escritura, cualquier ruta a la ra\u00edz del invitado puede otorgar al agente acceso al host subyacente, escapando efectivamente del entorno limitado.<\/p>\n

Esto implica cargar el subsistema de edici\u00f3n de paquetes de control de tr\u00e1fico (tc) \u00abact_pedit\u00bb del kernel de Linux en un espacio de nombres de usuario sin privilegios y explotar CVE-2026-46331 en el kernel invitado, una falla recientemente revelada llamada pedit COW, para obtener la ra\u00edz invitada. Desde all\u00ed, el agente puede acceder a todo el host (\u00abhttps:\/\/thehackernews.com\/\u00bb) con privilegios elevados, lo que le permite leer o escribir archivos desde y hacia el sistema de archivos de Mac como usuario de escritorio conectado.<\/a><\/p>\n

\"\"<\/a><\/div>\n

Or Hiltch, cofundador y CTO de Accomplish AI, dijo a The Hacker News que la creaci\u00f3n de espacios de nombres de usuarios y redes le da a la sesi\u00f3n CAP_NET_ADMIN<\/a> dentro de su espacio de nombres de red privada, lo que le permite realizar diversas operaciones relacionadas con la red.<\/p>\n

\u00abEsa capacidad proporciona acceso a la ruta vulnerable del kernel tc\/act_pedit utilizada por pedit COW\u00bb, a\u00f1adi\u00f3 Hiltch. \u00abLos espacios de nombres no son el exploit; ponen su prerrequisito normalmente privilegiado a disposici\u00f3n de un usuario normal\u00bb.<\/p>\n

El desarrollo adquiere importancia ante las revelaciones de que los modelos de OpenAI lograron salir de su entorno aislado durante una prueba de seguridad que result\u00f3 en la violaci\u00f3n de la infraestructura de producci\u00f3n de Hugging Face en su intento de enga\u00f1ar al punto de referencia ExploitGym en el que estaban siendo calificados.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

\u00abact_pedit es un error en una categor\u00eda\u00bb, dijo Yomtov. \u00abEl subsistema net\/sched de Linux lanza esta forma exacta de escalada de privilegios en una cadencia regular: un m\u00f3dulo autocargable, una ruta de configuraci\u00f3n que un usuario sin privilegios puede alcanzar, un error de memoria al final. Parche este y habr\u00e1 arreglado este. La cadena se rearma en el siguiente, con todo lo que est\u00e1 encima del kernel intacto\u00bb.<\/p>\n

\u00abY el siguiente siempre est\u00e1 por llegar. En cualquier momento dado, es probable que haya un error de escalada de privilegios al que todav\u00eda est\u00e1 expuesto, a veces solucionado en el sentido anterior pero a\u00fan no en su imagen, a veces a\u00fan no solucionado en ninguna parte, con un exploit funcional que funciona en cuesti\u00f3n de horas. Este no es un problema que se solucione m\u00e1s r\u00e1pido. Est\u00e1s estructuralmente un error detr\u00e1s, todo el tiempo\u00bb.<\/p>\n

Para mitigar la amenaza, es esencial deshabilitar espacios de nombres de usuarios sin privilegios<\/a>evite hacer que el filtro seccomp sea demasiado permisivo, detenga la carga autom\u00e1tica de m\u00f3dulos y restrinja el uso compartido de todo el host en la m\u00e1quina virtual.<\/p>\n

\u00abAl\u00e9jelo a las carpetas que realmente estaban conectadas en lugar de a todas \/, o al menos m\u00f3ntelo como de solo lectura, y ejecute coworkd con ProtectSystem=strict en su propio espacio de nombres de montaje para que no vuelva a ejecutar archivos binarios que un usuario de sesi\u00f3n pueda envenenar\u00bb, dijo Accomplish. \u00abEntonces, incluso una ra\u00edz invitada completa no tiene nada donde aterrizar, los dos \u00faltimos pasos de la cadena no tienen ad\u00f3nde ir\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Investigadores de ciberseguridad han descubierto una vulnerabilidad de escape de sandbox en Anthropic Claude Cowork eso hace posible salir de los l\u00edmites de una m\u00e1quina virtual (VM) de Linux dentro de la cual se ejecuta el agente para leer o escribir archivos en cualquier lugar de la Mac. Accomplish AI, que comparti\u00f3 detalles de la […]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[3998,397,1339,16,3995,24,2001,263,1764,3996,681,1233,3997],"class_list":["post-1735","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-acceda","tag-agente","tag-archivos","tag-claude","tag-cowork","tag-cyberdefensa-mx","tag-escape","tag-falla","tag-mac","tag-maquina","tag-permitir","tag-podria","tag-virtual"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1735","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1735"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1735\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1735"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1735"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1735"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}