作業フォルダをひとつつなぎ、短い指示をひとつ送る。それだけで、仮想マシンの中に隔離されているはずのAIエージェントが、Mac本体のファイルを許可確認なしに読み書きできるようになる──セキュリティ企業Accomplish AIが2026年7月23日に公開した検証は、そういう内容だった。対象はClaudeを手がけるAnthropicが提供する非エンジニア向けの自律型AIエージェント「Claude Cowork」。実演したオレン・ヨムトフ氏（Accomplish AI、主任セキュリティ研究員）は「新しいセッションにフォルダをひとつつなぎ、短いメッセージをひとつ送っただけで、エージェントがサンドボックスを抜け出すのを見た」と述べている。
コーディング支援に限らず、資料作成やリサーチまで任せられる自律型のAIエージェントは、この一年でGitHub CopilotやCursorも含めて急速に広まった。「仮想環境の中で安全に動く」という前提が崩れたとき、実際に何が起きるのか。時系列で追いながら、Coworkを使っている人・これから使おうとしている人にとっての意味まで整理する。
一言で「檻」の外へ──何が起きたのか
まず起きた出来事を、確認できた日付だけで並べる。Coworkがクラウドとローカルの両方で動く仕組みだったことが、そのまま今回の穴の背景にもなっている。
Claude CoworkがWeb・モバイルへ拡張Anthropicは、パソコンを閉じても作業が続く「クラウド実行」を軸に、CoworkをWeb版・iOS・Androidへ広げると発表。以後のバージョンでは、クラウド上の隔離環境で処理する実行方式が既定の動きになっていく。
Accomplish AIが「SharedRoot」を公開macOS版Coworkのローカル実行モードで、フォルダをひとつ接続し短い指示をひとつ送るだけで、Linux仮想マシンの外に出てMac本体のファイルを自由に読み書きできることを実証。使われた脆弱性はLinuxカーネルの「CVE-2026-46331」（通称"pedit COW"）。
海外セキュリティメディアが相次いで後追い報道The Hacker Newsをはじめとする英語圏の専門メディアが詳細を報道。Anthropicはこの報告を「Informative（参考情報）」として処理し、この脱出経路そのものに対する専用の修正パッチは出していないことが分かった。
「SharedRoot」の仕組み──フォルダ一つ、メッセージ一通の中身
Claude Coworkは、開発者以外の知的作業（調査・資料作成・複数手順のタスク処理など）を任せられる自律型エージェントで、実行方式にはAnthropicのサーバー上で動く「クラウド実行」と、手元のMac上でLinux仮想マシンを立ち上げて動く「ローカル実行」がある。Accomplish AIが突いたのは後者だ。攻撃の流れは、4段階に分解すると見えやすい。
ユーザーがCoworkのローカル実行セッションに、手元のフォルダをひとつ渡す。ごく普通の使い方の範囲内で、特別な権限設定は不要だった。
Linuxカーネルの通信制御機能（tcのact_peditサブシステム）にある脆弱性CVE-2026-46331を突き、本来書き換えられないはずのファイルのキャッシュを細工。仮想マシン内部で最上位権限（root）を握った。
仮想マシンとMac本体を結ぶ共有ファイルシステムのマウント経由で、接続したフォルダの外側、つまりMac本体の領域へそのまま抜け出た。この共有マウントの扱いが甘さの核心で、"SharedRoot"（共有されたroot）という名の由来になっている。
SSH鍵やクラウドの認証情報を含め、そのMacユーザーがアクセスできるファイルすべてに、ポップアップ確認ひとつなしで手が届く状態になった。
Anthropicの答えは「Informative」
これほど分かりやすい実演があってもなお、Anthropicはこの報告をバグ報奨金制度上の"脆弱性"としては認定していない。Accomplish AIによれば、判定は「Informative（参考情報）」。理由として説明されているのは主に二つだ。
Anthropicのバグ報奨金プログラムの規定上、報告時点で一般に公開されてから30日以内のCVEを突く手法は、審査対象の範囲外として扱われる。CVE-2026-46331の公表タイミングがこの窓に収まっていた。
Accomplish AIが併せて提案した名前空間の境界強化やseccompプロファイルの厳格化といった対策は、単独の脆弱性ではなく、あくまで多層防御（defense-in-depth）の改善項目としてAnthropic側に位置づけられた。
Coworkを使っている人がいますべきこと
ニュースとしての衝撃度は大きいが、だからといって今日から全面的に使うのをやめる必要があるかといえば、それも極端だ。落ち着いて確認すべき点は、次の四つに絞られる。
設定画面で、いま自分のセッションがクラウド実行かローカル実行かを確かめる。クラウド実行であれば、今回の脱出経路そのものは踏まない。
どうしてもローカルで動かす必要がある場合は、SSH鍵やクラウド認証情報が置かれた親ディレクトリごと渡さず、必要なファイルだけを最小限の範囲で接続する。
古いローカル実行版のまま使い続けている場合、クラウド実行既定化の恩恵を受けられない。アプリの更新状況を定期的に確認する。
仮想マシンやサンドボックスといった言葉が出てきても、それが具体的にどこまでの隔離を意味するのかは製品ごとに違う。重要な認証情報を扱う作業では、まず小さな範囲で試す姿勢を崩さない。
「隔離されている」をどこまで信じるか
今回の一件が突きつけているのは、技術的な穴そのものより「隔離されています」という説明と、実際の設計との距離だ。仮想マシンという言葉には安心感があるが、その仮想マシンがホストとどう繋がっているか、共有フォルダの権限がどう設定されているかまで踏み込んで説明している製品は、まだ多くない。
AIエージェントを選ぶ側にできることは、機能の便利さだけでなく、こうした実行環境の作りをどこまで開示しているかも判断材料に加えることだ。GitHub CopilotやCursorのように自動でコードを実行する機能を持つ製品を比較検討する際も、価格や補完精度だけでなく、コードやファイルへのアクセス範囲をどう区切っているかを確認しておきたい。一社に絶対の信頼を置くのではなく、用途とリスク許容度に応じて実行方式を選び分ける姿勢が、今回のような一件をやり過ごす一番の備えになる。
編集部の見立て
今回いちばん気になったのは、技術的な脱出経路そのものより、Anthropicの「Informative」という判定の仕方です。バグ報奨金プログラムの規定に照らせば筋は通っているのでしょう。しかし、フォルダをひとつ渡しただけでMac全体が読み書き自由になった、という実演の重さと、社内の審査区分としての軽さの間には、埋めがたい落差があります。制度上の分類と、ユーザーが実際に負うリスクの大きさは、必ずしも一致しません。
もう一つ見過ごせないのは、この脆弱性の根っこが公開済みのLinuxカーネルの問題だったという点です。自社が新しく作り込んだ欠陥ではないからこそ「うちの責任範囲は狭い」という判断に傾きやすい。ですが、その公開済みの穴を仮想マシンの構成とホストへの共有マウントで実際につなげてしまった設計判断は、紛れもなくCowork側の話です。
AIエージェントに本物の実行権限を持たせる流れは、Anthropicに限らずこの先も止まりません。だからこそ各社には、隔離の強度を誇るだけでなく、それがどこまで・どういう条件で成り立つ隔離なのかを具体的に説明する責任が伴います。選ぶ側も、耳当たりのいい「安全設計」という言葉より、こうした開示の中身で製品を見極める目を持ちたいところです。
まとめ
2026年7月23日、セキュリティ企業Accomplish AIが、Anthropicの自律型AIエージェント「Claude Cowork」のmacOSローカル実行モードで、フォルダをひとつ接続し短い指示をひとつ送るだけで仮想マシンを脱出し、Mac本体のファイルを許可確認なしに読み書きできることを実証しました。使われたのはLinuxカーネルの脆弱性CVE-2026-46331。約50万人のmacOSユーザーが影響下にあったとされています。
Anthropicはこの報告を「Informative」として処理し、この経路そのものへの専用修正は出していません。ただし最新版のCoworkはクラウド実行が既定になっており、その構成であれば同じ経路を踏まずに済みます。いま使っている人は、実行方式の確認、接続フォルダの絞り込み、バージョンの更新という基本の3点をまず押さえてください。
自律型のAIエージェントは、便利さと引き換えに、実行環境への本物のアクセス権をどこかで手放していません。「隔離されている」という言葉を鵜呑みにせず、その中身を具体的に確認する目を持つことが、この種の一件と付き合っていくうえでの一番の備えになります。
各ツールのリアルな口コミ・評価はこちらからご覧いただけます。