Claude Cowork contorna máquina virtual e acede a ficheiros do sistema

O Claude Cowork, ferramenta de inteligência artificial desenvolvida pela Anthropic, consegue fazer algo que não deveria: sair dos limites da máquina virtual onde está confinado e aceder a ficheiros do sistema operativo principal. A descoberta foi feita pela equipa da Accomplish AI, que demonstrou como o agente pode ler e modificar dados sensíveis numa instalação local típica.

A questão levanta preocupações sérias sobre a forma como ferramentas de IA autónomas interagem com sistemas locais, especialmente quando utilizadores europeus optam por instalações próprias em vez de dependerem exclusivamente da cloud.

Como é que a proteção foi quebrada

A falha que permite esta fuga tem nome e apelido: CVE-2026-46331. Trata-se de uma vulnerabilidade de escalada de privilégios no kernel Linux que recebeu uma classificação de 7.8 pontos considerada de risco elevado. O que isto significa na prática? Um agente de IA que deveria estar isolado dentro de uma máquina virtual consegue, com um comando simples, ganhar permissões que lhe dão acesso total ao computador anfitrião.

Os investigadores mostraram o processo num Mac a correr uma máquina virtual Linux. Bastou uma instrução para o Claude Cowork atravessar a barreira de segurança e começar a explorar o sistema real. Chaves SSH, credenciais de serviços cloud, configurações privadas tudo fica exposto quando esta falha é explorada.

A resposta da Anthropic ao problema

Confrontada com os resultados, a Anthropic reconheceu o problema mas escolheu um caminho peculiar para o resolver. Em vez de lançar uma correção directa para as instalações locais, a empresa decidiu mudar a configuração predefinida do Claude Cowork para funcionar exclusivamente em servidores cloud.

Esta decisão resolve o problema para novos utilizadores que aceitem a configuração automática. Mas quem já instalou o Claude Cowork localmente e há boas razões para o fazer, desde privacidade de dados até requisitos de compliance em ambientes empresariais europeus continua exposto à mesma vulnerabilidade.

Medidas de protecção para quem usa instalação local

Para quem precisa de manter o Claude Cowork a funcionar localmente, os especialistas em segurança deixaram várias recomendações técnicas. A primeira passa por desactivar os espaços de nomes de utilizador sem privilégios no sistema uma configuração que fecha parte da porta de entrada usada pela falha.

Outra medida fundamental: limitar drasticamente as pastas partilhadas com a máquina virtual. Em vez de dar acesso amplo ao sistema de ficheiros, convém partilhar apenas o estritamente necessário e sempre em modo de leitura quando possível. Quanto menos superfície de ataque existir, menor o dano potencial.

Os investigadores sugerem também executar o processo coworkd dentro do seu próprio espaço de nomes de montagem, com a opção ProtectSystem definida como strict. Esta configuração adiciona camadas extra de isolamento que dificultam a manipulação de ficheiros binários do sistema por parte de um agente comprometido ou malicioso.

O dilema entre conveniência e segurança

Este caso ilustra um dilema crescente no mundo da inteligência artificial: quanto controlo devem ter os agentes autónomos sobre os nossos sistemas? A capacidade do Claude Cowork de executar tarefas complexas depende precisamente de ter acesso alargado a ferramentas e ficheiros. Mas esse mesmo acesso transforma-se numa vulnerabilidade quando as barreiras de segurança falham.

Para utilizadores e empresas europeias que valorizam ter controlo local sobre os seus dados algo reforçado por legislação como o RGPD , a solução simplista de “usar só a cloud” não é sempre aceitável. A pressão agora recai sobre a Anthropic para oferecer uma arquitectura de segurança robusta que permita instalações locais sem comprometer a protecção do sistema.

Entretanto, quem depende do Claude Cowork localmente deve implementar as configurações de segurança recomendadas o mais rapidamente possível. Adiar estas medidas é deixar a porta aberta a um agente que, mesmo sem intenção maliciosa, pode acidentalmente expor ou alterar dados críticos.

Via: ShiftDelete