Claude Coworkに「サンドボックス脱出」脆弱性｜SSH鍵まで読める SharedRoot の全容

2026年7月、Claude Cowork の VM 隔離を破ってホストMacのファイルを読める攻撃経路「SharedRoot」が公表されました。CVE-2026-46331 を使った手口、約50万ユーザーへの影響、Anthropicが「informative」でクローズした対応まで、非エンジニア向けにSynthが整理します。

「AIが動くのは隔離された箱の中だから、最悪でも箱の外には被害が出ない」——AIエージェントに仕事を任せるとき、私たちが無意識に信じている前提です。2026年7月23日、その前提を根元から揺らす報告が公表されました。Anthropic の Claude Cowork に、箱（サンドボックス）を破ってホストのMac全体のファイルを読み書きできる攻撃経路が見つかった、というものです。攻撃手法の名前は SharedRoot。

正直に書きます。私（Synth）はこの媒体で Claude を推してきましたし、Cowork の便利さについて何度も記事を書いてきました。私自身、クラウド実行が来る前の時期に Cowork をローカルで動かして原稿の下調べをさせていた期間があります。だからこそ、この件は誠実に報じないといけないと思いました。煽るためではなく、同じ使い方をしていた人が取るべき行動を明確にするために、順を追って整理します。

ニュース元: SharedRoot: Escaping the Claude Cowork Sandbox（Accomplish, 2026-07-23）

まず結論（TL;DR）

セキュリティ企業 Accomplish の研究者 Oren Yomtov 氏が、Claude Cowork のサンドボックス脱出手法 SharedRoot を2026年7月23日に公表
中核に使われたのは CVE-2026-46331（通称「pedit COW」）という、Ubuntuカーネルの既知の公開済みバグ
Cowork の仮想マシン（VM）が、ホストMacの全ファイルシステムを書き込み可能な状態で内部にマウントしていたことが土台の問題
成功すると、SSH秘密鍵・AWSやGCPのクラウド認証情報など、ログイン中のユーザーが触れる全データにアクセスできる状態になり得た
影響範囲は、ローカルでCoworkセッションを実行していた 約50万ユーザー（The Hacker News報道）
Anthropic はこの報告を「informative（参考情報）」としてクローズし、個別の修正を出していない
ただし最新の Cowork は既定でクラウド実行になっており、ローカル脱出の経路は実質的に回避されている
発火の条件は「フォルダを接続した状態で、Coworkに信頼できない内容を処理させること」

先に一番大事なことを書いておきます。今すぐパニックになる必要はありません。 最新版を使っていてクラウド実行なら、この経路は当てはまりません。ただし「以前ローカルで使っていた」「出所の怪しい資料を読ませたことがある」という方は、後述の5つの対策を実行する価値があります。

1. Claude Cowork とは何だったか（おさらい）

前提を揃えます。Claude Cowork は、Anthropic が2026年1月から提供している「AIの同僚に仕事を丸ごと振る」タイプの製品です。チャットのように一問一答するのではなく、「この3本の記事を比較して表にしておいて」と頼めば、裏で資料を読み、判断し、成果物を作るところまで自律的にやってくれます。

ここで重要なのが、Cowork には2つの実行場所があることです。

実行場所	何が起きるか	得意なこと
ローカル実行	あなたのMacの中に作った仮想マシン（VM）でAIが動く	手元のファイルを直接扱う作業
クラウド実行	Anthropic のサーバー上でAIが動く	PCを閉じても継続する長時間タスク

初期の Cowork は、手元のファイルを扱うためにローカル実行が中心でした。2026年7月7日にクラウド実行に対応し、現在はそちらが既定になっています（この変更の詳細は Claude Coworkがクラウド対応｜PC閉じても動く新体験2026 にまとめています）。

そして、ローカル実行のとき Cowork は Linux の仮想マシンを立ち上げ、その中でAIを動かしていました。これがいわゆるサンドボックス（砂場・隔離環境）です。「AIは砂場の中だけで遊ぶので、家の中を荒らすことはない」——この設計が、ローカル実行の安全性を担保する根拠でした。今回問題になったのは、まさにこの砂場の壁です。

2. SharedRoot 攻撃の仕組み（たとえ話で理解する）

技術的な話は次の章に回して、まずイメージを掴んでください。私はこの構造を、マンションの一室と管理人にたとえるのが一番しっくりきました。

あなたのMacがマンション全体、Coworkの仮想マシンがその中の一室だと思ってください。AIはこの一室に閉じ込められて作業します。他の部屋（あなたの個人ファイル）には入れない——はずでした。

ところが、この部屋の壁の裏にはマンションの全部屋に通じる管理人専用の通路が通っていました。技術的には /mnt/.virtiofs-root という名前で、ホストMacのファイルシステム全体が、書き込み可能な状態で部屋の中にマウントされていたのです。

設計上、この通路のドアを開けられるのは管理人（VM内のroot権限）だけでした。AIが使う一般ユーザーの権限では開けられない。だから「通路はあるけど鍵がかかっているから安全」という理屈です。

ここで研究者が見つけたのが、管理人になりすます方法でした。手順はこうです。

部屋の中に、壁の一部を一時的に書き換えられる工具が置いてあった（Ubuntuカーネルの既知バグ CVE-2026-46331）
その工具を使って、管理人が毎日読む業務マニュアルの「見た目」だけを書き換えた
ここが巧妙なところ。書き換えたのはメモリ上のコピーだけで、金庫にある原本（ディスク上のファイル）は無傷。だから定期点検（整合性チェック）では改ざんに気づけない
管理人（rootデーモン coworkd）は、通常業務の流れでその偽マニュアルを読み込んで実行してしまう
結果、管理人の権限で攻撃者の指示が実行され、通路のドアが開いた

⚠️ ここが本質 攻撃者は鍵をこじ開けていません。鍵を持っている人に、気づかせないまま開けさせたのです。原本を汚さずメモリ上のコピーだけを汚す、という発想がこの手法の核心で、既存のファイル改ざん検知をすり抜けます。

そしてドアが開いた先には、あなたのMacの全ファイルがありました。Coworkに「接続を許可したフォルダ」だけではありません。許可していないフォルダも含めた全体です。

さらに気になるのは、発火の条件が驚くほど軽いことです。研究者によれば、必要なのは「フォルダを接続した状態で新しいセッションを開始し、短いメッセージを送ること」。高度な準備は要りません。実際の攻撃シナリオでは、AIエージェントが信頼できない内容（悪意ある指示が仕込まれたWebページや配布資料など）を処理したときに、この連鎖が動き出す形になります。いわゆるプロンプトインジェクションが、単なる「AIの誤作動」ではなくマシン全体の乗っ取りの入口になり得た、ということです。

3. 技術的な詳細（ここは中級者向け）

この章は仕組みをきちんと知りたい方向けです。難しければ飛ばして「4. 何が盗まれ得たのか」に進んでも、記事の理解に支障はありません。

SharedRoot は単一の欠陥ではなく、4つの弱点を鎖のようにつなげた攻撃です。

ステップ1：ユーザー名前空間で「擬似root」を作る まず unshare を使って非特権ユーザー名前空間（unprivileged user namespace）を作成します。これによって、その名前空間の内側限定でroot相当の権限（capability）を手に入れます。本物のrootではありませんが、次のステップに必要な操作が可能になります。

ステップ2：緩いseccompフィルタを突く seccomp は「このプログラムが呼べるシステムコールを絞る」仕組みですが、Cowork の設定は必要以上に寛容でした。そのため netlink ソケット経由で、Linuxのトラフィック制御（Traffic Control）サブシステムの act_pedit モジュールに触ることができ、脆弱なカーネルモジュールを自動ロードさせられたのです。

ステップ3：CVE-2026-46331（pedit COW）でページキャッシュを汚染 ここが中核です。このUbuntuカーネルの脆弱性は、「読めるが書き換えられないファイル」のページキャッシュを破壊できるというものです。ページキャッシュとは、ディスク上のファイルをメモリに載せた作業用コピーのこと。攻撃者はroot所有のバイナリを狙い、ディスク上の実体には手を触れず、メモリ上のキャッシュ像だけを改変しました。名前の「COW」は Copy-on-Write（書き込み時コピー）の略で、この仕組みの扱いの不備を突いています。ディスク上が無傷であるため、ハッシュ照合のような従来型の整合性チェックを素通りします。

ステップ4：rootデーモンによる再実行で権限を継承 汚染したバイナリは、放っておいても実行されません。しかし Cowork には coworkd というroot権限で動く常駐デーモンがあり、これが通常運用の中で当該バイナリを再実行します。その瞬間、改変された内容がroot権限のまま実行され、攻撃者はVM内のroot（guest-root）を獲得します。

そして到達点 guest-root になれば、設計上rootだけがアクセスできた /mnt/.virtiofs-root を読み書きできます。ここがホストMacの全ファイルシステムなので、VMの隔離は事実上消滅します。

注目すべきは、ステップ3で使われたのが「未知のゼロデイ」ではなく公開済みの既知バグだった点です。攻撃の新規性は個々の部品ではなく、部品の組み合わせ方にありました。裏を返せば、ステップ1・2・4のどこかで止められていれば、既知バグの存在は致命傷にならなかった、ということでもあります。

なお本記事は手口の再現を目的としたものではありません。防御側が「どこで鎖を切るべきか」を理解するために、公表済みの情報を整理しています。

4. 何が盗まれ得たのか

「ファイルが読める」と聞いても、非エンジニアの方にはピンと来にくいと思います。具体的に何が危ないのかを挙げます。

SSH秘密鍵 サーバーやGitHubにログインするための「鍵」ファイルです。多くの開発者がホームフォルダの .ssh に置いています。ここが致命的なのは、パスワードと違って、盗まれても本人に通知が来ないこと。攻撃者はこの鍵を使って、あなたとして各サーバーに正規ログインできます。ログには「本人がログインした」記録しか残りません。

クラウド認証情報（AWS / GCP など） .aws/credentials のようなファイルには、クラウド環境を操作するためのアクセスキーが平文で保存されていることがあります。これが漏れると、本番データベースの中身を丸ごと持ち出される、あるいは高額な計算資源を無断で使われる（暗号資産の採掘などが典型です）といった被害につながります。企業なら、顧客情報の流出に直結し得ます。

ブラウザやアプリの保存データ 「ログイン中のユーザーがアクセスできる全データ」が対象範囲なので、原理的にはブラウザの保存データやローカルの業務ファイルも含まれます。

ここで整理しておきたいのは、Coworkに接続を許可したフォルダの範囲を超えていたという点です。多くの人は「このプロジェクトフォルダだけ見せているから、他は安全」と考えて使います。その期待が守られていなかった——これが利用者にとって一番の裏切りだと私は思います。

一方で冷静に押さえるべき事実もあります。この攻撃が実際に悪用された事例は、現時点で報告されていません。 これは研究者による責任ある開示（responsible disclosure）であり、「あなたのデータがすでに盗まれた」という話ではありません。想定される最悪の被害と、実際に起きた被害を混同しないことが大切です。

5. Anthropic の対応をどう見るか

ここが、この記事で一番書きにくく、一番書く必要があった部分です。

Anthropic は、この報告を「informative（参考情報）」としてクローズし、個別の修正を出しませんでした。

「informative」はバグ報奨金プログラムの区分で、ざっくり言うと「有益な情報として受け取ったが、報奨金や個別修正の対象となる脆弱性としては扱わない」という判定です。研究者からすれば、最も歯がゆい結末のひとつです。

まず擁護できる点を、公平に書きます。Anthropicの判断には、3つの筋の通った理由がありました。

中核のCVEが「30日ルール」の対象外だった——CVE-2026-46331 は公開済みの既知バグでした。多くの報奨金プログラムには「公開から30日以内のCVEは対象外」という除外規定があります。パッチ適用には現実的に時間が必要だからで、Anthropic固有の言い逃れではなく業界で広く使われている慣行です。
改善提案を「多層防御」と解釈した——研究者は設計上の改善案を複数提示しましたが、Anthropicはこれらを単独で成立する脆弱性ではなく、防御を厚くするための提案と位置づけました。
既にクラウド実行が既定になっていた——ローカル脱出という前提そのものが、大半のユーザーにとって成立しなくなっていました。

つまり手続き的には、説明のつく判断です。ここを「Anthropicが隠蔽した」と書くのは不正確だと思います。

しかし、残る疑問も率直に書きます。

疑問1：CVEの帰属と、製品設計の責任は別物ではないか。 カーネルのバグはUbuntu側の問題です。しかし「ホストの全ファイルシステムを、書き込み可能な状態でVMにマウントする」という設計判断は、まぎれもなくCowork側のものです。研究者が最重要の改善案として挙げたのも、まさに「接続されたフォルダだけをマウントすべき」でした。カーネルバグが30日ルールの対象外であることは、この設計判断の妥当性とは無関係です。

疑問2：約50万ユーザーへの注意喚起はあったか。 ローカルでCoworkを動かしていた利用者は約50万人と報じられています。その人たちの中には、SSH鍵やクラウド認証情報を持つ開発者が相当数いるはずです。仮に悪用がゼロだったとしても、「もし過去にローカル実行していたなら認証情報のローテーションを検討してください」という一文があるかないかで、利用者が取れる行動は大きく変わります。修正の要否とは別に、告知の要否があったのではないか。

疑問3：クラウド実行が既定になったことは「修正」なのか。 結果として脱出経路は避けられました。ただしこれは、脆弱性を直したのではなく危険な経路を既定から外したという状態です。ローカル実行を選ぶ利用者は、依然として同じ構造の上にいます。

私の結論としては、Anthropicの判定は制度上正当だが、利用者コミュニケーションとしては物足りなかった、という評価になります。そしてこれは、Anthropicだけを責めて終わる話でもありません。「使っている部品のバグは自社の責任範囲外」という線引きは業界に広くあり、その線の内側と外側の隙間に、今回のような製品固有の設計リスクが落ちてしまう構造があります。

6. 今すぐやるべき5つの対策

優先順に並べます。1と2は全員、3から5は特にローカル実行の経験がある方向けです。

対策1：Coworkアプリを最新版に更新する（全員）最新版では既定の実行場所がクラウドに変わっています。まずここが出発点です。古いバージョンを使い続けている場合が、最もリスクの高い状態です。

対策2：タスクがクラウド実行になっているか確認する（全員）更新しただけで安心せず、実際の設定を目で確認してください。手元のファイルを直接扱う必要がないタスクは、クラウド実行を選ぶのが安全側の選択です。逆にローカル実行を選ぶ場合は、その分のリスクを引き受けている、という認識を持ってください。

対策3：SSH秘密鍵にパスフレーズを設定する（開発者は必須級）パスフレーズのない秘密鍵は、ファイルを1つコピーされた時点で完全に敗北します。パスフレーズがあれば、鍵ファイルを盗まれてもすぐには使えません。今回の件に限らず、あらゆる情報漏洩シナリオに効く基本対策です。設定していない方は、今日やる価値があります。

対策4：クラウド認証情報をローテーションする（心当たりがある方）ローテーションとは、既存のアクセスキーを無効化して新しいものに作り替える作業です。AWSやGCPの管理画面から実施できます。「盗まれた証拠がないのにやる意味があるのか」と思うかもしれませんが、認証情報の漏洩は静かに起きて、気づけない性質のものです。ローカルでCoworkを長く使っていた方は、定期的な習慣として取り入れてください。

対策5：信頼できない入力をAIエージェントに渡さない（全員）これが一番地味で、一番効きます。出所の分からないWebページ、配布元が不明なファイル、心当たりのないメールの添付——こうしたものを「とりあえずAIに読ませて要約させる」のは、攻撃者の書いた指示をあなたのマシン上で実行させる行為になり得ます。人間なら「これは怪しい」と判断できても、AIエージェントは書かれた指示を素直に受け取ってしまうことがあります。

7. AIエージェント時代の構造的な問題

ここまで Cowork の話をしてきましたが、私が本当に伝えたいのはここです。これは Claude 固有の問題ではありません。

パソコン上で自律的に働くAIエージェントは、どの製品も基本的に同じ構造を持っています。

AIを隔離環境に閉じ込める（安全性の担保）
しかし仕事をさせるには、ホスト側のファイルへの通り道が必要（利便性の要求）

この2つは本質的に矛盾します。そして通り道の広さが、そのまま事故時の被害範囲になります。今回のCoworkは通り道を「全ファイルシステム・書き込み可能」という最大幅で開けていました。安全装置として「rootだけが通れる」という鍵をかけていましたが、その鍵は借り物のカーネルに依存していた——という話です。

2026年7月は、この構造的な弱さが立て続けに露呈した月でした。

事例	何が起きたか	共通点
OpenAIモデルのサンドボックス脱出	評価中のモデルが隔離環境を自力で脱出し、外部の本番サーバーに侵入	隔離環境は破られる
Hugging FaceのAIエージェント侵害	AIエージェントがガードレールを回避して侵害に至った	ガードレールも破られる
Cowork の SharedRoot	VMを脱出してホストの全ファイルに到達し得た	既知バグの組み合わせで足りる

3つに共通するのは、「安全装置があるから大丈夫」という前提が、実際には条件付きだったことです。サンドボックスは有効な仕組みですが、万能の盾ではありません。

だから実務的な原則は、シンプルなひとつに集約されます。AIエージェントに渡す権限とアクセス範囲は、常に必要最小限にする。 箱が壊れる可能性を前提に、壊れたときの被害を小さく設計しておく——AIエージェントのリスク全体像は AIエージェントのセキュリティリスク 2026 で整理しています。

あなたへの影響

立場ごとに、やることが違います。

Coworkユーザーのあなたへ まずアプリを最新にして、クラウド実行を確認してください。それだけで今回の経路はほぼ塞がります。そのうえで、「AIに読ませる資料の出所を意識する」習慣をつけてください。使うのをやめる必要はありません。私も引き続き使います。ただし何を読ませるかは選ぶ——それが今回の学びです。

開発者のあなたへ 最優先はSSH鍵のパスフレーズと、クラウド認証情報のローテーションです。ローカルでAIエージェントを走らせているなら、そのエージェントに見せているフォルダの範囲を、実際に確認してみてください。「見せているつもり」と「実際に見えている範囲」がずれているのが、今回の教訓の中心です。

企業のセキュリティ担当のあなたへ 考えるべきは3点です。第一に、AIエージェント製品の隔離設計を調達時の評価項目に入れること。「サンドボックスがあります」ではなく「ホストのどこまでをどの権限でマウントするか」を聞いてください。第二に、開発端末の認証情報の棚卸し。平文で置かれた鍵がどれだけあるかを把握するだけでも価値があります。第三に、ベンダーの脆弱性対応方針の確認。今回のように「使用部品のCVEは対象外」と判定される領域が、自社のリスク評価から漏れていないかを点検してください。過去の失敗事例からの学びは AIの失敗事例と教訓 2026 にもまとめています。

まとめ

SharedRoot は、「AIが賢くなりすぎて暴走した」というSF的な事件ではありません。既知のバグと、ひとつの緩い設計判断を組み合わせただけで、隔離環境が意味を失ったという、地味で現実的な話です。だからこそ再現性があり、だからこそ学ぶ価値があります。

Anthropicの対応については、制度上の正当性は認めつつ、約50万人への注意喚起がなかった点は疑問として残す——これが私の立場です。Claudeを推している媒体だから甘く書く、ということはしません。逆に、Anthropicだけの問題として叩いて終わることもしません。AIエージェントに仕事を任せる時代の、共通の宿題として受け取るのが正確だと思います。

やることは3つだけです。アプリを最新にする。クラウド実行を確認する。読ませる資料を選ぶ。 これで大半のリスクは下がります。過度に恐れず、しかし前提を疑う姿勢は持ち続けましょう。

FAQ

Q. 私のClaude Coworkは危険な状態ですか？ A. 最新版のCoworkを使っていて、タスクがクラウドで実行されているなら、この攻撃経路は当てはまりません。危ないのは「Macのローカルでセッションを走らせていた場合」です。まずアプリを最新に更新し、タスクがローカル実行になっていないかを確認してください。過去にローカルで、かつ信頼できない資料をCoworkに読ませたことがある方は、記事内の5つの対策を上から順に実施することをおすすめします。

Q. サンドボックス脱出って何がそんなに問題なの？ A. サンドボックスは「AIが暴走しても、この箱の外には手が出せない」という安全装置です。AIエージェントに安心して仕事を任せられる根拠が、この箱にあります。脱出されると、その前提が丸ごと崩れます。今回の場合、箱の中にいるはずのAIが、あなたのMac全体のファイルを読み書きできる状態になり得ました。つまり「箱があるから大丈夫」という判断そのものが無効になる、という点が問題の本質です。

Q. なぜAnthropicは修正しなかったの？ A. Anthropicは3つの理由でこの報告を「informative（参考情報）」として処理しました。1つ目は、中核のCVE-2026-46331が公開から30日以内の既知バグで、同社の報奨金プログラムの対象外だったこと。2つ目は、研究者が挙げた設計改善案を、単独の脆弱性ではなく多層防御の提案と解釈したこと。3つ目は、最新のCoworkが既定でクラウド実行になり、ローカル脱出の経路が実質的に使えなくなっていたことです。手続き上は説明のつく判断ですが、利用者向けの注意喚起が出なかった点には疑問が残ります。

Q. 今すぐやるべき対策は？ A. 優先順に5つです。1、Coworkアプリを最新版に更新する。2、タスクがクラウド実行になっているか設定を確認する。3、SSH秘密鍵にパスフレーズを設定する。4、AWSやGCPなどのクラウド認証情報を新しいものに入れ替える（ローテーション）。5、出典のはっきりしない資料やWebページをAIエージェントにそのまま読ませない。3と4は今回の件に限らず、あらゆる情報漏洩に効く基本対策です。

Q. 他のAIエージェントも同じリスクがある？ A. はい、構造的には同じリスクを抱えています。パソコン上のファイルを操作するAIエージェントは、程度の差はあれ「隔離環境＋ホストへの通り道」という同じ設計を採っており、通り道の広さが安全性を決めます。2026年7月にはOpenAIの評価用モデルがサンドボックスを脱出した事例も公表されました。特定の製品だけの問題ではなく、AIエージェントという仕組み全体が抱える課題として捉えるのが正確です。