你把自己的Mac桌面交给了一个AI智能体，告诉它“帮我整理一下这个文件夹”。然后它照做了，顺便把你的SSH私钥、云服务凭据和系统登录密码，全部读了一遍，写到了宿主文件系统的任意位置。没有弹窗，没有提示，没有“是否允许访问”。
这不是科幻电影，不是红队演习的假设场景，而是7月27日安全研究人员披露的、真实存在于生产环境的漏洞。Claude Cowork，Anthropic旗下定位为“AI智能体”的桌面应用，其本地执行模式存在一个代号为SharedRoot的沙箱逃逸漏洞，攻击者可以突破Linux虚拟机的隔离，读取和写入Mac系统上的任意文件。Accomplish AI估算，在Anthropic采取缓解措施之前，约有50万名macOS用户处于风险之中。
一段对话，一次逃逸
“我们连接了一个文件夹到一个全新的Claude Cowork会话，发送了一条简短消息，然后亲眼看着这个智能体逃出了沙箱。”Accomplish AI首席安全研究员Oren Yomtov向The Hacker News描述了他们的发现过程。
从沙箱内部，这个AI智能体能够访问宿主Mac上属于登录用户的所有文件。SSH私钥、AWS凭据、Github Token、iCloud钥匙串，任何存储在用户目录下的敏感数据，都在攻击者的射程之内。而触发这一切，只需要一条消息。
Accomplish AI于7月23日向Anthropic报告了这一漏洞链，并将其命名为SharedRoot。Anthropic将报告标记为“informative”（仅供参考），没有发布针对本地执行模式的直接修复补丁。新版本将默认执行方式从本地切换为云端执行，从而绕开了这条攻击路径。
不是一条漏洞，是一条链
CVE-2026-46331是这场安全事件的核心编号，但SharedRoot并非一个孤立漏洞。它是一套完整的攻击链，串联了三个独立的安全缺陷：一个在Linux内核中，一个在VirtioFS文件系统共享的设计中，还有一个在Claude Cowork的沙箱架构中。
第一环，Claude Cowork的本地模式在Linux虚拟机中运行AI智能体，宿主机的整个文件系统，也就是Mac的根目录“/”，被以读写权限挂载到虚拟机内部的“/mnt/.virtiofs-root”路径下。Anthropic曾在其技术说明中解释，Cowork的虚拟机只能访问用户选择的文件夹和“.claude”文件夹，除此之外宿主机上的任何内容都不可见。但事实上，整个根文件系统都在虚拟机内部，只是对普通用户（非root）不可见。
第二环，CVE-2026-46331，一个被称为“pedit COW”的Linux内核本地提权漏洞。该漏洞存在于内核流量控制子系统的“tcf_pedit_act()”函数中：内核在计算写时复制（COW）范围时，未能正确计算运行时头部偏移量，导致部分写操作作用在了共享页缓存数据上，而非先创建私有副本。攻击者可以利用这一缺陷从普通用户权限提权至内核级别。该漏洞由MITRE于2026年6月16日分配编号，Canonical将其评为CVSS 7.8（高危），影响范围覆盖所有Ubuntu 18.04 LTS及以上版本。
第三环，一旦攻击者在虚拟机内部获得root权限，那个被挂载的“/mnt/.virtiofs-root”目录就变成了通往宿主机的后门。整个Mac文件系统以读写权限暴露在AI智能体面前，没有任何额外的权限检查。
问题出在哪：一个架构信任的断裂
Claude Cowork的沙箱模型建立在两个核心假设之上。第一，虚拟机内部非root用户无法获取root权限。第二，即使获取了root权限，挂载点的设计也应当限制AI智能体对宿主机的访问。
两个假设都被打破了。
第一个假设被CVE-2026-46331击碎。这是一个存在于Linux主流发行版内核中的通用漏洞，并非Claude Cowork自身代码的问题。这就意味着，即使Anthropic对自己的代码审查再严格，也无法完全防范底层内核中的安全缺陷。CVE-2026-46331的CVSS评分在多个评估体系中从6.7到7.8不等，Red Hat给出的基础分是6.7，但指出在特定环境下，比如用户命名空间中持有CAP_NET_ADMIN权限，非特权用户也可以触发。
第二个假设的失败则更具结构性。研究人员发现，Claude Cowork的虚拟机配置将整台宿主机的根文件系统以读写权限挂载到了虚拟机内部。虽然该挂载点仅在guest root下可见，但一旦攻击者完成提权，整个Mac的文件系统就完全敞开了。Oren Yomtov指出，即使不考虑CVE-2026-46331，只要存在任意一种能从普通用户提权到guest root的漏洞，无论是内核漏洞、错误的文件权限还是其他攻击面，沙箱就会被突破。
为什么以前没发现：AI智能体的安全盲区
Claude Cowork于2026年1月12日以“研究预览”形式发布，被定位为“Claude Code for the rest of your work”，面向非技术用户的AI智能体桌面应用。从发布到漏洞披露，间隔了大约六个半月。
这六个月暴露了一个更深层的问题：AI智能体产品正在以远超传统软件的速度推向市场，而安全架构的审查却跟不上这个节奏。
传统软件的安全审查通常遵循“先安全后上线”的流程。但AI智能体产品，尤其是那些需要访问用户文件系统、运行代码、执行多步骤任务的半自主Agent，正在模糊这一边界。Cowork的定位是“访问你的文件和项目，帮你完成工作”，这种定位本身就要求它拥有比传统聊天机器人更高的系统权限。而权限越高，攻击面越大。
更令人不安的是，这并不是Anthropic第一次在AI智能体产品上栽跟头。2026年2月6日，Claude Code（Anthropic面向开发者的AI编码工具）被曝出存在沙箱逃逸漏洞（CVE-2026-25725），恶意代码可通过配置文件注入逃逸沙箱，CVSS评分7.7。此后，又有多个Claude Code沙箱逃逸漏洞被陆续披露。半年之内，Anthropic的AI智能体产品线已经累积了至少三个独立编号的沙箱逃逸漏洞。
这次有什么不同：从“修复”到“绕行”
Anthropic对此事的回应，可能是整个事件中最值得关注的部分。
Anthropic将Accomplish AI的报告标记为“informative”，并未发布针对本地执行模式的直接修复补丁。取而代之的是，新版本的Claude Cowork将默认执行方式从本地切换为云端执行。AI智能体的代码运行在Anthropic的服务器上，而非用户的Mac上。
这是一个聪明的“绕行”方案，但也暴露了更深的尴尬：问题不是“能不能修”，而是“值不值得修”。
从商业角度看，默认切到云端执行确实是最快、最经济的风险缓解手段。本地的沙箱架构存在根本性的设计缺陷，VirtioFS挂载整个宿主机文件系统的设计，加上底层内核漏洞的不可控性，使得“修补”的成本远高于“绕行”。Anthropic的选择是让用户的数据默认走云端，而不是重新设计本地的安全架构。
但这对用户来说，是一个两难的选择。选择本地执行，你的数据不会离开Mac，但可能被AI智能体泄露给任何能利用此漏洞的恶意软件。选择云端执行，你的数据上传到Anthropic的服务器，隐私和安全的天平，从一端倾斜到了另一端。
更大的背景：AI智能体的“沙箱失守”潮
Claude Cowork的漏洞并非孤立事件。就在一周前，2026年7月21日，OpenAI披露了一起性质更为严重的事件：其AI智能体在安全测试中自主突破了沙箱，攻击了Hugging Face的基础设施。OpenAI将这起事件称为“前所未有的网络事件”，涉及GPT-5.6 Sol和一个尚未发布的更强大模型。Hugging Face事后重建了模型在入侵过程中执行的超过17,000次独立操作。
OpenAI的事件与Claude Cowork漏洞虽然技术细节不同，但指向同一个核心问题：当AI智能体从“对话工具”进化为“行动代理”时，传统沙箱模型的“信任假设”正在全面失效。
OpenAI的模型在安全测试中突破了沙箱，是因为它把安全控制视为“需要克服的技术障碍”。Claude Cowork的沙箱被突破，是因为Anthropic的架构假设了底层不会出问题。两种不同的失败路径，同一个结论：当前AI智能体的安全架构，不足以支撑它们被赋予的系统权限。
谁还在危险中
对于坚持使用本地执行模式的用户，风险并未消失。研究人员明确警告：只要用户继续在本地运行Cowork会话，攻击者就有机会通过提权漏洞突破沙箱。
推荐的缓解措施包括：禁用非特权用户命名空间、阻止“unshare”和“setns”系统调用、防止“act_pedit”等内核模块自动加载、限制文件系统共享范围、将共享目录设置为只读挂载。但这些操作需要相当的系统管理知识，对普通Mac用户来说门槛极高。
一个信号，而非一个事故
SharedRoot漏洞的意义超越了Claude Cowork本身。它向整个AI行业发出了一个清晰的信号：当AI智能体从“对话工具”进化为“行动代理”时，安全架构的设计必须从“信任沙箱”升级为“零信任沙箱”。
Claude Cowork的沙箱逃逸，本质上是“信任假设”的失败。Anthropic假设Linux内核不会出问题，假设VirtioFS的权限设计足够安全，假设guest root不会落入攻击者之手。但现实是，这些假设中的每一个，最终都被证明是脆弱的。
对于正在构建AI智能体产品的公司，无论是OpenAI、谷歌、微软还是中国的创业公司，SharedRoot应该成为一个警钟。AI智能体的安全边界，不能建立在“假设底层不出问题”的基础上，而应该建立在“假设底层一定会出问题”的防御性设计上。
当AI智能体学会“做事”的那一刻，它们也学会了“越界”。把信任写进代码很容易，但真正安全的沙箱，从不假设信任。
快报