Claude Coworkのサンドボックス、1メッセージで脱出可能に｜SSHキー漏洩リスクとwp2shell続報

「隔離環境で安全に動く」というAIエージェントの前提が、たった1つのメッセージで崩れました。Anthropicの知識労働エージェントアプリ「Claude Cowork」に、AIが自分の”檻”であるはずの仮想マシンから脱出し、Macのファイルシステム全体——SSHの秘密鍵やクラウドの認証情報まで含めて——読み書きできてしまう脆弱性が見つかりました。今日はこの話と、先日からお伝えしているWordPressの「wp2shell」続報を、あわせてお届けします。

Claude Cowork、”1メッセージで檻を出た”サンドボックス脱出

セキュリティ企業Accomplish AIの主任研究者オレン・ヨムトフ氏は、この攻撃経路を「SharedRoot」と名付けました。氏の説明はシンプルです。「新しいClaude Coworkセッションにフォルダを1つ接続し、短いメッセージを1つ送っただけで、エージェントがサンドボックスを脱出するのを目撃した。VM内部からホストのMacに到達し、接続したフォルダをはるかに超えて、あちこちのファイルを読み書きしていた。許可を求めるプロンプトは一度も出なかった」。

Claude Coworkは、macOS上でAppleの仮想化フレームワークを使ってLinux VMを起動し、その中で権限を制限したユーザーとしてエージェントを動かす設計です。本来なら、エージェントの操作はこのVM内部と、明示的に接続したフォルダだけに限定されるはずでした。しかし調査の結果、このVMには実はホスト側のファイルシステム全体が、書き込み可能な状態でマウントされていたことが判明しました。本来はVM内部の管理者権限を持つユーザーしかアクセスできない設計でしたが、通常の一般ユーザー権限からこの管理者権限を奪う方法が見つかり、結果としてホスト側の全データに手が届く状態になっていました。

正直に書いておくべき点として、Anthropicはこの報告を「Informative（参考情報）」として処理し、直接の修正は行っていません。ただし、最新版のCoworkはデフォルトの実行方式をクラウド実行に切り替えており、この特定の脆弱性はクラウド実行では該当しないと見られます。一方、ローカルでの実行をあえて選択しているユーザーは、引き続きこのリスクにさらされたままです。研究者側は、今回の問題は特定のバグ1つの話ではなく、「ホストのファイルシステム全体を書き込み可能な形でVMに見せる」という設計そのものに根がある、と指摘しています。

続報：wp2shell、CISAが「悪用確認」認定を追加

先日お伝えしたWordPressコアの脆弱性wp2shellについて、続報です。CISA（米サイバーセキュリティ・インフラセキュリティ庁）は7月21日、CVE-2026-63030（REST APIバッチルート処理の不具合）を「既知悪用脆弱性（KEV）」カタログに正式追加しました。米連邦機関には、このCVEについては7月24日まで、もう一方のCVE-2026-60137（SQLインジェクション）については8月4日までの対応が義務付けられています。

セキュリティ企業watchTowrの主任研究者は、「UTC時間の土曜早朝には、公開された攻撃コードを使ったハッシュ化された認証情報の窃取が、既に本格化していた。さらに詳しい情報が公開されるにつれ、リモートコード実行まで踏み込んだ攻撃が続いている」と説明しています。現時点で、スイス・ドイツ・英国・インドネシア・リトアニア・オランダ・シンガポールの13の異なるIPアドレスが、この攻撃活動と関連付けられているとのことです。まだパッチを適用していないサイトは、今すぐの対応が必要です。

まとめ

AIツール・WordPressサイトのセキュリティ点検のご相談はお気軽にどうぞ。