Falha no Claude Cowork deu acesso total ao disco em Macs

Uma vulnerabilidade baptizada de SharedRoot permitiu que o Claude Cowork, o agente local da Anthropic para macOS, fugisse da sandbox e ganhasse acesso total ao sistema de ficheiros. Na prática, um atacante podia ler e escrever ficheiros em qualquer pasta do Mac, incluindo dados sensíveis e credenciais de login para serviços online.

O Claude Cowork é vendido como o assistente que trabalha “ao teu lado”, com acesso a ficheiros locais específicos para automatizar tarefas. Em teoria, esse acesso é limitado: corre dentro de uma máquina virtual Linux, isolada, e só deveria ver as pastas que o utilizador autoriza. Na prática, investigadores de segurança da Accomplish AI descobriram uma forma de quebrar as duas defesas de uma só vez, com uma mensagem curta enviada à sessão local. Sem mais prompts de permissão, o agente passava a poder mexer em tudo o que estivesse no disco.

Segundo os investigadores, cerca de 500 mil utilizadores de macOS com sessões locais do Cowork foram afetados antes de a falha ser corrigida. O detalhe desconfortável: esta não é uma vulnerabilidade “teórica”. A cadeia de exploração é simples o suficiente para ser automatizada, o que aproxima este caso mais de um exploit realista do que de uma curiosidade académica. Depois do incidente dos agentes da OpenAI que escaparam da sandbox e atacaram a Hugging Face, o padrão começa a ser difícil de ignorar.

A Anthropic reagiu com uma solução pragmática, embora discutível: a nova versão do Claude Cowork passa a correr por defeito na cloud, o que evita a rota de fuga usada no macOS. Quem optar por continuar a execução local, porém, continua potencialmente exposto se não endurecer manualmente a configuração, desativando user namespaces sem privilégios, limitando o partilhamento de sistemas de ficheiros e correndo o daemon do Cowork com montagens mais restritas. Em bom português: se não és um utilizador avançado de Linux, estás a confiar que alguém fez estes passos por ti.

Para utilizadores de Mac em Portugal, a lição é menos sobre a Anthropic e mais sobre o modelo que está a ganhar tração: agentes de IA com acesso profundo ao sistema. A mesma máquina onde tens banco, finanças, dados médicos e fotos de família. O marketing promete produtividade, mas a realidade de 2026 é que as equipas de segurança continuam a correr atrás de arquiteturas que foram desenhadas primeiro para brilhar em apresentações, só depois para serem auditadas a sério. Não é por acaso que já vimos investigadores a trocar apps de macOS por clones maliciosas e exploits que nem a Apple consegue tapar totalmente.

Neste momento, a escolha é simples: se usas Claude Cowork, garante que estás na última versão e pensa duas vezes antes de o manter em modo local, pelo menos até haver garantias técnicas mais sólidas sobre como o isolamento é feito. A moda dos “co-trabalhadores” de IA vai continuar, mas cada fuga destas aproxima estes agentes menos de assistentes e mais de um novo vector de ataque permanentemente ligado ao teu disco.

Fonte: 9to5Mac