Was eine Agenten-Sandbox aushält, ent­scheidet sich nicht im Kernel

Das Unternehmen Accomplish AI hat einen Ordner mit einer frischen Sitzung von Claude Cowork verbunden, eine kurze Nachricht geschickt und zugesehen, wie der Agent seine Umgebung verließ. Danach konnte er Dateien überall auf dem Mac lesen und schreiben, mit den Rechten des angemeldeten Nutzers und weit außerhalb des verbundenen Ordners, ohne dass irgendwo eine Rückfrage erschien. Die Nachricht steht für den Fall, um den es dem Bericht geht: fremder Inhalt, den der Agent in einer Sitzung verarbeitet. Die Kette heißt SharedRoot, veröffentlicht am 23. Juli.

Vom eigenen Namensraum zum ganzen Dateisystem

Cowork führt den Agenten in einer Linux-Maschine als eingeschränkter Nutzer aus, mit gefiltertem Zugriff auf Systemaufrufe, und reicht die verbundenen Ordner über einen Dienst mit Systemrechten hinein. Der Agent legte sich einen eigenen Namensraum an, in dem er selbst die Rechte des Systemverwalters hält, lud über diesen Umweg ein Netzwerkmodul des Kernels nach und nutzte darin einen seit Juni bekannten Fehler, um den zwi­schen­ge­spei­cherten Inhalt einer Systemdatei zu verändern, die er nur lesen durfte. Der Dienst mit Systemrechten führte kurz darauf diese veränderte Fassung aus. Damit hielt der Sitzungsnutzer im Gastsystem die Rechte des Systemverwalters, und die Maschine gehörte dem Agenten.

Der letzte Schritt war dann keiner mehr. Das gesamte Dateisystem des Macs war in die virtuelle Maschine hineingereicht, beschreibbar, sichtbar für genau die Rechte, die der Agent sich gerade verschafft hatte. Von dort aus gab es nichts mehr zu überwinden.

Warum der Kernel-Fehler der uninteressante Teil ist

Es liegt nahe, das als Kernel-Problem zu lesen und auf den nächsten Patch zu warten. Der Bericht widerspricht dem selbst, und das ist der Teil, der über diesen einen Fall hinausreicht. Sein Verfasser wirbt damit zugleich für die Bauform des eigenen Produkts: Fehler dieser Bauart tauchen im Netzwerk-Scheduler des Kernels regelmäßig auf, ein Modul, das sich bei Bedarf selbst nachlädt, ein Konfigurationsweg, den ein eingeschränkter Nutzer erreicht, ein Speicherfehler am Ende. Wer diesen behebt, hat diesen behoben. Die Kette lädt beim nächsten wieder durch. Die Zeit zwischen einer veröffentlichten Behebung und einem funktionierenden Angriff darauf ist nach seiner Einschätzung auf Stunden geschrumpft. Ein Gastsystem bleibt damit dauerhaft einen Fehler hinterher, und schnelleres Einspielen ändert daran wenig.

Vier Entscheidungen oberhalb des Kernels hätten die Kette gebrochen, und jede einzelne davon hätte gereicht: dem Sitzungsnutzer keine eigenen Namensräume erlauben; den Filter für Systemaufrufe, eine Sperrliste, die fast alles durchlässt, so verschärfen, dass er neue Namensräume und Netlink-Sockets abweist; ungenutzte Kernel-Module am Nachladen hindern; und den Ordner in die Maschine reichen, der verbunden wurde, statt das ganze Dateisystem. Der Unterschied zum Patch ist, dass jede dieser Entscheidungen eine ganze Klasse schließt statt eines einzelnen Falls. Die dritte wendet Cowork an anderer Stelle bereits an, für ein anderes Modul, wegen einer früheren Schwachstelle. Das Muster steckte also schon im Abbild der Maschine; an dieser Stelle fehlte es.

Die Grenze ist das Produkt

Bisher galt die Sandbox als die Grenze, über die man beim Einsatz eines Agenten redet: Es gibt sie, also ist der Schaden begrenzt. Was dieser Fall zeigt, ist die Frage darunter. Eine Grenze ist so viel wert wie die Antwort darauf, was passiert, wenn sie fällt. Liegt hinter ihr das ganze Dateisystem, ist der Ausbruch eines Agenten die Übernahme des Rechners. Liegt dort der eine verbundene Ordner, ist er ein Vorfall im verbundenen Ordner.

Für einen Agenten ist das keine Nebensache. Er soll fremden Text lesen, das Repository, das jemand anders geschrieben hat, das PDF aus der Mail. Unerwartete Eingaben sind bei ihm der Normalfall, deshalb hängt an der Grenze das ganze Versprechen des Produkts. Der Bericht setzt beides gleich: Die Grenze ist das, was ein solches Produkt verkauft.

Motiv, Einstufung, Betroffene

Der Autor entwickelt ein konkurrierendes Produkt und schließt seinen Text mit der Begründung, warum er es anders gebaut hat. Die Kette ist trotzdem Schritt für Schritt nachvollziehbar dokumentiert, das Motiv gehört dennoch dazu.

Anthropic hat den Bericht als „Informative“ geschlossen: Der Kernel-Fehler war jünger als 30 Tage und fiel damit in das Zeitfenster, das das eigene Meldeprogramm ausnimmt, und die Härtungspunkte gelten dort als zusätzliche Tiefe. Für ein Meldeprogramm ist das nachvollziehbar. Für jemanden, dessen Rechner das ist, beschreibt es dieselbe Sache aus einer anderen Entfernung.

Wie viele Menschen betroffen waren, nennt der Bericht nicht. In der Cloud greift dieser Weg nach Einschätzung des Autors nicht.

Dorthin ist Cowork inzwischen umgezogen. Laut Anthropic laufen Sitzungen standardmäßig auf dessen Servern, in den Tarifen Pro, Max und Ultra seit dem 6. Oktober alle neuen Aufgaben. Im Enterprise-Tarif muss ein Verantwortlicher die Cloud erst einschalten. Die virtuelle Maschine auf dem eigenen Rechner bleibt für bestehende Desktop-Installationen erhalten, in Pro, Max und Ultra nur für Aufgaben von vor dem Stichtag. Ob die vier Entscheidungen dort inzwischen umgesetzt sind, sagt Anthropics öffentliche Übersicht nicht.

Einordnung

Wer einen Agenten auf dem eigenen Rechner einsetzt, kann die Frage des Berichts an die eigene Einrichtung stellen: Was liegt hinter der Grenze, falls sie fällt? Ein eng gewählter Ordner und Zugangsdaten, die außerhalb davon liegen, begrenzen den Schaden auch dann, wenn die Isolierung selbst versagt. Wie die Grenze zwischen Rechteregel und Isolierung durch das Betriebssystem verläuft, erklärt Vibe-Coding / Agentic Engineering, Kapitel 09. Bei Sitzungen in der Cloud geht dieselbe Frage an den Anbieter, und dessen öffentliche Angaben dazu sind bisher knapp.