Tietoturvayhtiö Accomplish AI:n tutkijat liittivät yhden kansion tuoreeseen Claude Cowork -istuntoon, lähettivät agentille yhden lyhyen viestin ja jäivät katsomaan. Agentti käveli ulos hiekkalaatikostaan ja alkoi lukea ja kirjoittaa tiedostoja pitkin Macin kovalevyä, myös kansioissa joihin sille ei ollut annettu mitään oikeuksia.
Cowork on Anthropicin työpöytäsovellus, jossa Claude tekee tehtäviä itsenäisesti käyttäjän omissa tiedostoissa. Paikallisessa ajossa agentti pyörii Linux-virtuaalikoneessa Applen virtualisointikehyksen päällä. Idea on, että virtuaalikone toimii muurina: agentti näkee vain ne kansiot, jotka sille on erikseen kytketty.
Muuria ei käytännössä ollut. Accomplish AI:n SharedRoot-raportin mukaan Macin koko juurihakemisto oli liitetty virtuaalikoneen sisälle polkuun /mnt/.virtiofs-root, luku- ja kirjoitusoikeuksin. Liitos näkyi vain virtuaalikoneen pääkäyttäjälle, joten koko suojaus lepäsi sen varassa, ettei agentti koskaan pääse pääkäyttäjäksi.
Kuusi askelta hiekkalaatikosta työpöydälle
Tutkijoiden ketju eteni vaiheittain. Agentti loi itselleen uuden nimiavaruuden, jonka sisällä se oli muodollisesti pääkäyttäjä ja sai verkonhallintaoikeudet. Niillä se sai Linux-ytimen lataamaan act_pedit-moduulin, jossa oli tuore haavoittuvuus CVE-2026-46331.
Haavoittuvuuden avulla agentti myrkytti muistista sellaisen apuohjelman kopion, jota se sai vain lukea. Levyllä olevat tavut eivät muuttuneet, mutta kun Coworkin taustapalvelu käynnisti ohjelman seuraavan kerran, se ajoi myrkytetyn version pääkäyttäjän oikeuksin. Siitä eteenpäin koko Macin tiedostojärjestelmä oli auki.
“Liitimme kansion tuoreeseen Claude Cowork -istuntoon, lähetimme yhden lyhyen viestin ja katsoimme, kuinka agentti murtautui ulos hiekkalaatikosta.”
Miksi SSH-avain on pahempi menetys kuin salasana
Kotihakemiston .ssh-kansiossa lojuu tiedostoja, jotka toimivat avaimina palvelimille. Salasanan voi vaihtaa ja siihen voi lisätä kaksivaiheisen tunnistautumisen. SSH-avain sen sijaan päästää sisään sellaisenaan, ilman salasanaa ja useimmiten ilman erillistä vahvistusta, ja se toimii mistä päin maailmaa tahansa niin kauan kuin vanhaa avainta ei ole erikseen poistettu palvelimilta.
Samasta kotihakemistosta löytyivät myös pilvipalvelujen tunnukset, selaimen tallentamat tiedot ja koodivarastot. Kehittäjän läppäri on monessa suomalaisessa pienyrityksessä käytännössä pääsylippu koko tuotantoympäristöön: yksi kone, yksi käyttäjä ja avaimet, joilla pääsee asiakastietokantaan asti. Jos avaimet kopioidaan, vahinko ei rajoitu siihen kansioon jonka käyttäjä luuli antaneensa agentille.
Ilmiö koskee myös muita kuin ohjelmoijia. Yhä useampi tekee työnsä sovelluksella, joka lupaa hoitaa tehtäviä itsenäisesti omalla koneella, ja saman koneen kovalevyllä ovat työsähköpostit, asiakassopimukset ja selaimen istunnot. Kun agentin toimintaympäristön rajat pettävät, ne pettävät kaiken tämän osalta yhtä aikaa.
Anthropic sulki raportin informatiivisena
Accomplish AI ilmoitti löydöstä Anthropicille, joka kirjasi raportin luokkaan informatiivinen eikä julkaissut korjausta. Perusteluna oli, että ytimen haavoittuvuus oli oman 30 päivän julkaisuikkunansa sisällä ja että Coworkin omat kovennukset ovat syvyyssuuntaista puolustusta, eivät itsenäinen ongelma. Tuorein Cowork-versio ajaa agentin oletuksena pilvessä, mikä poistaa ongelman uusilta käyttäjiltä, mutta paikallisen ajon valinneet ovat yhä alttiina.
Accomplish AI arvioi The Hacker Newsille, että paikallisia Cowork-istuntoja ajoi noin 500 000 macOS-käyttäjää. Luku on yhtiön oma estimaatti, ei Anthropicin vahvistama tilasto, ja sitä kannattaa lukea suuruusluokkana.
Vastuunjako jää tässä auki. Kun agentti ajetaan käyttäjän omalla koneella, valmistaja voi aina sanoa, että ympäristön kovennus kuuluu käyttöjärjestelmälle tai käyttäjälle itselleen. Vastaus ohjata ihmiset pilveen on toimiva korjaus tuotteen kannalta, mutta se siirtää työtiedostot toisen osapuolen palvelimille, eikä se käy kaikille toimialoille. Moni suomalainen organisaatio ajaa agentteja paikallisesti nimenomaan siksi, ettei aineisto saa lähteä koneelta.
Sama kuvio, toinen valmistaja
Tämä on kuluvan kuukauden toinen tapaus, jossa koodiagentti pääsee käsiksi kehittäjän avaimiin. xAI:n Grok Build lähetti käyttäjien kotihakemistoja pilveen heinäkuun alussa. Tekninen mekanismi oli aivan toinen, mutta rakenne on identtinen: agentti perii käyttäjän täydet oikeudet, jokin raja pettää, ja valmistaja reagoi vasta kun ulkopuolinen huomauttaa.
Kahden tapauksen yhteinen nimittäjä ei ole huolimattomuus vaan oikeusmalli. Työpöytäkäyttöjärjestelmien käyttöoikeudet on suunniteltu ihmiselle, joka tekee yhden asian kerrallaan ja tietää mitä tekee. Agentti taas ajaa satoja komentoja minuutissa saman käyttäjätilin oikeuksilla, eikä kukaan lue niitä läpi. Hiekkalaatikko lisätään päälle jälkikäteen, ja sen tiiviys selviää yleensä vasta kun joku testaa sitä.
Jos olet ajanut Coworkia paikallisesti
Päivitä Cowork uusimpaan versioon ja tarkista asetuksista, ajetaanko agentti pilvessä vai paikallisesti. Jos olet ajanut sitä paikallisesti, käsittele koneen avaimia vuotaneina: luo uudet SSH-avainparit, poista vanhat julkiset avaimet palvelimilta ja GitHub:sta, kierrätä pilvipalvelujen käyttöavaimet ja kirjaudu ulos selaimen tärkeimmistä istunnoista.
Jatkossa kannattaa suojata yksityiset avaimet salasanalla ja ajaa agentit erillisellä käyttäjätilillä tai koneella, jolla ei säilytetä tuotantotunnuksia. Merkkejä väärinkäytöstä voi etsiä palvelinten kirjautumislokeista ja pilvipalvelun käyttöhistoriasta.
