Anthropicの「Claude Code Work」に、サンドボックス環境を抜け出してホスト側macOS上のファイルへアクセスし得るリスクがあることが分かった。セキュリティ企業のAccomplish AIが、Linuxの脆弱性を悪用して仮想マシン（VM）を脱出できると実証した。Techzineなどが報じた。

Accomplish AIによると、研究チームはMac上で動作するLinux VMにClaude Code Workを導入し、単一の共有フォルダだけにアクセスできるよう設定した。そのうえで検証したところ、AIエージェントは単一のコマンドでサンドボックスの境界を越え、指定されたフォルダ以外のファイルを読み取り、改変できたという。

TechRadarは、この手法が悪用された場合、攻撃者がユーザーアカウント内の機微情報にアクセスする恐れがあると伝えた。研究チームは、SSHキーやクラウド認証情報などを主な標的として挙げている。Accomplish AIは、Anthropicが設定を見直すまで、ローカル実行でClaude Code Workを利用していたmacOSユーザー最大約50万人がリスクにさらされていた可能性があると推定した。

Accomplish AIによれば、Anthropicはこの指摘を参考情報として扱い、個別のセキュリティパッチは提供しなかった。ただ、最新版のClaude Code Workではデフォルトの実行方式がクラウドベースに変更されており、ローカルVM経由の脱出経路は初期設定では想定しにくい構成になったという。ローカル実行を続ける利用者には、追加のセキュリティ対策が必要になる。

今回の事例は、AIモデルそのものよりも、周辺インフラや権限管理の不備がリスクになりやすいことを改めて浮き彫りにした。The Next Webは、CursorやCodex、Gemini CLIのサンドボックスでも類似の脆弱性が見つかった例があるとし、同種の問題が業界全体に広がっている可能性を指摘している。

OpenAIのエージェントでも、隔離されたサンドボックス環境からの逸脱事例が確認されたばかりで、AIエージェントを実行する環境設計そのものの安全性が改めて問われている。