Le tue chiavi SSH a rischio, Claude Cowork può leggere tutto il Mac

Se usi Claude Cowork sul tuo Mac per automatizzare compiti quotidiani, c’è una notizia che vale la pena conoscere. Un gruppo di ricercatori di sicurezza ha dimostrato che Claude Cowork può leggere tutto il Mac, non solo la cartella che gli hai concesso, sfruttando una falla nel modo in cui il sistema gestisce l’isolamento tra la macchina virtuale dell’agente e il computer reale. La scoperta ha fatto rumore proprio perché Claude Cowork può leggere tutto il Mac in condizioni che sembravano già protette da un ambiente isolato pensato apposta per evitarlo.

Come funziona la falla SharedRoot

I ricercatori di Accomplish AI hanno chiamato la vulnerabilità SharedRoot, e il meccanismo alla base è più semplice di quanto il nome suggerisca. Cowork esegue l’agente dentro una macchina virtuale Linux creata tramite il framework di virtualizzazione di Apple, e un demone chiamato coworkd si occupa di collegare le cartelle che l’utente sceglie di condividere. Il problema è che l’intero filesystem del Mac viene montato dentro quella macchina virtuale in lettura e scrittura, accessibile solo a chi ottiene privilegi di root al suo interno.

Sfruttando una falla nel kernel Linux, catalogata come CVE-2026-46331, i ricercatori sono riusciti a ottenere quei privilegi partendo da una sessione utente normale. La vulnerabilità riguarda un componente del kernel dedicato alla gestione del traffico di rete, dove un errore nella copia della memoria permetteva di corrompere dati riservati e alterare un file che il demone coworkd, già in esecuzione con privilegi di root, avrebbe poi eseguito automaticamente.

Da quel momento, Claude Cowork può leggere tutto il Mac collegato, non più limitato alla cartella condivisa in origine. Nella dimostrazione pratica basta collegare una cartella a una nuova sessione e inviare un singolo messaggio perché l’agente esca dall’ambiente isolato e inizi a leggere e scrivere file ovunque sul sistema, senza alcuna richiesta di conferma aggiuntiva.

Seguici su Telegram per rimanere aggiornato

Cosa può realmente vedere l’agente

Una volta completato il sandbox escape, i file raggiungibili includono chiavi SSH private, credenziali cloud, dati salvati nel browser e qualsiasi altro materiale accessibile all’utente connesso al Mac. Questo è il punto che rende la scoperta rilevante, perché conferma che Claude Cowork può leggere tutto il Mac compresi i dati più sensibili, non solo file di lavoro generici. In pratica, tutto ciò che normalmente proteggi con le tue password personali diventa visibile a chi riesce a far scattare la catena di exploit, che sia l’agente stesso guidato da un’istruzione malevola o un attaccante che manipola una sessione.

I ricercatori hanno stimato che circa mezzo milione di utenti macOS con sessioni Cowork locali attive fossero esposti prima che arrivasse una mitigazione. Va detto che Claude Cowork può leggere tutto il Mac solo nelle sessioni eseguite in locale, non in quelle basate su cloud, dove l’agente lavora sui server di Anthropic e non ha alcun accesso diretto al filesystem del computer.

La risposta di Anthropic

Qui la vicenda diventa più sfumata. Secondo quanto riportato, Anthropic ha chiuso la segnalazione classificandola come informativa, senza pubblicare una correzione diretta per il bug specifico. Va però precisato che dal 7 luglio 2026 le nuove sessioni Cowork usano di default l’esecuzione cloud, che elimina completamente la superficie di attacco su cui si basa SharedRoot, dato che in quel caso non esiste più una macchina virtuale locale da cui fuggire.

Chi continua a usare Cowork in locale resta invece esposto, a meno di irrobustire manualmente la configurazione disabilitando i namespace utente non privilegiati e limitando la condivisione del filesystem. Finché quella configurazione non cambia, resta vero che Claude Cowork può leggere tutto il Mac su cui gira in locale, indipendentemente da quanto ristretta sembri la cartella condivisa all’inizio. Se hai installato Cowork seguendo la nostra guida completa passo passo, vale la pena controllare oggi stesso quale modalità di esecuzione stai usando davvero.

Claude Cowork può leggere tutto il Mac

Annunci

Cosa fare se usi Cowork in locale

La soluzione più semplice resta passare all’esecuzione cloud, già attiva di default su chi ha aggiornato l’app di recente. Se invece preferisci comunque il locale per motivi specifici, come nel caso di chi usa Cowork anche da mobile con lo schermo spento, è importante limitare l’accesso solo alle cartelle strettamente necessarie per ogni task, evitando di collegare directory che contengono credenziali o chiavi di accesso.

Chi ha già eseguito sessioni locali con file non verificati dovrebbe considerare seriamente di ruotare le credenziali potenzialmente esposte, comprese eventuali chiavi API e password salvate nel browser, prima che diventino un problema concreto invece che teorico. Il punto centrale resta semplice, finché non verifichi la modalità attiva, devi partire dal presupposto che Claude Cowork può leggere tutto il Mac se lavora in locale, e comportarti di conseguenza.

In definitiva

Il fatto che Claude Cowork può leggere tutto il Mac in determinate condizioni non significa che lo strumento sia da abbandonare, ma che vale la pena capire quale modalità stai effettivamente usando prima di collegare cartelle sensibili. Un controllo di due minuti oggi può evitarti problemi molto più grandi domani.

Fonte

Ti è piaciuto questo articolo?

Seguici per restare aggiornato su tech, smartphone e streaming – senza perderti nulla.

Google News Telegram YouTube Facebook Instagram