สรุปสั้น
นักวิจัยด้านความปลอดภัยค้นพบช่องโหว่หนีกล่องทราย (sandbox escape) ในฟีเจอร์ Claude Cowork ของบริษัท Anthropic ที่เปิดให้ AI agent หลุดออกจากขอบเขตของเครื่องเสมือน (Virtual Machine หรือ VM) แบบ Linux ที่ตัว agent ทำงานอยู่ ไปอ่านหรือเขียนไฟล์ที่ใดก็ได้บนเครื่อง Mac บริษัท Accomplish AI ซึ่งแบ่งปันรายละเอียดกับ The Hacker News ก่อนเผยแพร่ ระบุว่ามีผู้ใช้ macOS ที่รัน Cowork แบบ local session ราว 500,000 รายที่ได้รับผลกระทบก่อนจะมีการแก้ไข และตั้งชื่อรหัสช่องโหว่นี้ว่า SharedRoot นาย Oren Yomtov หัวหน้านักวิจัยความปลอดภัยของ Accomplish AI เล่าว่าทีมเพียงเชื่อมโฟลเดอร์หนึ่งเข้ากับ Cowork session ใหม่ ส่งข้อความสั้นๆ ไปหนึ่งครั้ง แล้วก็เห็น agent หนีออกจากกล่องทราย จากภายใน VM มันเข้าถึงเครื่อง Mac ที่เป็น host และอ่านเขียนไฟล์ได้ทั่วเครื่อง ไกลเกินโฟลเดอร์ที่เชื่อมไว้ โดยไม่มีหน้าจอขออนุญาตใดๆ ด้วยระดับการเข้าถึงเช่นนี้ agent สามารถเข้าถึงข้อมูลใดก็ตามที่เก็บบน Mac ผ่านบัญชีผู้ใช้ รวมถึง SSH key, cloud credential และข้อมูลมีค่าอื่นๆ หลังการแจ้งเตือนอย่างมีความรับผิดชอบ Anthropic ปิดรายงานโดยจัดเป็นข้อมูลเชิงบอกกล่าวและไม่ได้ออกแพตช์ แต่ Cowork เวอร์ชันล่าสุดตั้งค่าให้รันบนคลาวด์เป็นค่าปริยายซึ่งแก้ปัญหานี้ได้ ทว่าผู้ใช้ที่เลือกรัน agent แบบ local ยังคงมีความเสี่ยงอยู่
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 23 กรกฎาคม 2569 ว่าบริษัท Accomplish AI ค้นพบช่องโหว่ SharedRoot ในสถาปัตยกรรมการทำงานของ Claude Cowork แอปเดสก์ท็อปบน macOS ของ Cowork ทำงานในนามผู้ใช้ที่ล็อกอินเข้าระบบ ขณะที่งานจริงของ agent เกิดขึ้นใน Linux VM ที่สร้างผ่านเฟรมเวิร์ก Virtualization ของ Apple ทุก session จะได้ผู้ใช้แบบใช้แล้วทิ้งที่ไม่มีสิทธิ์พิเศษของตัวเอง พร้อมตัวกรอง seccomp สำหรับจำกัดสิทธิ์แอปพลิเคชัน โดยโฟลเดอร์ที่ผู้ใช้เชื่อมเข้ามาจะถูกแชร์เข้าสู่ VM ผ่าน root daemon ชื่อ coworkd
นาย Yomtov อธิบายว่ารายละเอียดหนึ่งที่สำคัญกว่าจุดอื่นคือไฟล์ระบบของ host ถูกแชร์เข้าสู่ VM แบบอ่าน-เขียน โดยทั้ง root (’/’) ของ host ถูกเมาต์ไว้ให้เฉพาะ guest-root ภายใน VM มองเห็นที่ /mnt/.virtiofs-root เพราะไฟล์ระบบทั้งหมดของ host ถูกเมาต์เข้าสู่ VM ของ agent ด้วยสิทธิ์อ่าน-เขียน พาธใดก็ตามที่นำไปสู่ guest-root จึงเปิดทางให้ agent เข้าถึง host ที่อยู่ข้างล่างได้ เท่ากับเป็นการหนีออกจากกล่องทรายอย่างสมบูรณ์ ความสำคัญของเรื่องนี้ยิ่งชัดเจนขึ้นเมื่อเทียบกับการเปิดเผยก่อนหน้าว่าโมเดลของ OpenAI เคยหลุดออกจากสภาพแวดล้อมกล่องทรายระหว่างการทดสอบความปลอดภัยจนนำไปสู่การเจาะโครงสร้างพื้นฐานของ Hugging Face
รายละเอียดช่องโหว่
การโจมตีเริ่มจากการโหลดระบบย่อย act_pedit ซึ่งเป็นส่วน Traffic Control (tc) สำหรับแก้ไขแพ็กเก็ตของเคอร์เนล Linux เข้าไปใน user namespace ที่ไม่มีสิทธิ์พิเศษ แล้วเจาะช่องโหว่ CVE-2026-46331 ในเคอร์เนลของ guest ซึ่งเป็นช่องโหว่ที่เพิ่งถูกเปิดเผยและมีชื่อเรียกว่า pedit COW เพื่อให้ได้สิทธิ์ guest-root จากจุดนั้น agent สามารถเข้าถึง host ทั้งหมด (’/’) ด้วยสิทธิ์ที่ยกระดับแล้ว ทำให้อ่านและเขียนไฟล์บนไฟล์ระบบของ Mac ได้ในนามผู้ใช้เดสก์ท็อปที่ล็อกอินอยู่
นาย Or Hiltch ผู้ร่วมก่อตั้งและ CTO ของ Accomplish AI ระบุว่าการสร้าง user namespace และ network namespace ทำให้ session ได้สิทธิ์ CAP_NET_ADMIN ภายใน network namespace ส่วนตัวของมัน ซึ่งเปิดให้ทำงานเกี่ยวกับเครือข่ายได้หลายอย่าง และความสามารถนั้นเองที่เปิดทางไปสู่เส้นทางเคอร์เนล tc/act_pedit ที่มีช่องโหว่ pedit COW โดยเขาย้ำว่า namespace ไม่ใช่ตัวช่องโหว่ แต่มันทำให้เงื่อนไขที่ปกติต้องมีสิทธิ์พิเศษกลายเป็นสิ่งที่ผู้ใช้ธรรมดาเข้าถึงได้ นาย Yomtov ยังชี้ว่า act_pedit เป็นเพียงหนึ่งบั๊กในหมวดเดียวกัน ระบบย่อย net/sched ของ Linux ปล่อยช่องโหว่ยกระดับสิทธิ์รูปแบบนี้ออกมาเป็นระยะ ทั้งโมดูลที่โหลดอัตโนมัติได้ เส้นทางตั้งค่าที่ผู้ใช้ไม่มีสิทธิ์เข้าถึงได้ และบั๊กหน่วยความจำที่ปลายทาง แก้ตัวหนึ่งก็ได้แค่ตัวนั้น พอมีช่องโหว่ตัวใหม่ ลูกโซ่ก็กลับมาใช้ได้อีก นี่จึงไม่ใช่ปัญหาที่แก้ด้วยการแพตช์ให้เร็วขึ้น แต่เป็นเชิงโครงสร้างที่ตามหลังช่องโหว่อยู่หนึ่งก้าวเสมอ
ผลกระทบต่อไทย
Claude Cowork เป็นเครื่องมือ AI agent ที่ได้รับความนิยมเพิ่มขึ้นในหมู่ผู้ใช้และองค์กรในไทยที่นำ AI มาช่วยงานอัตโนมัติบนเครื่อง โดยเฉพาะสายพัฒนาซอฟต์แวร์ที่มักเก็บ SSH key และ cloud credential ไว้บนเครื่องเดียวกัน ช่องโหว่ SharedRoot สะท้อนความเสี่ยงของแนวคิดการมอบสิทธิ์ให้ AI agent ทำงานแทนบนเครื่องจริง ที่หากกล่องทรายถูกเจาะได้ ข้อมูลทั้งเครื่องก็ตกอยู่ในมือผู้โจมตี ผู้ใช้ในไทยที่ยังตั้งค่ารัน Cowork แบบ local จึงควรตระหนักว่าตัวเองอยู่ในกลุ่มเสี่ยงเดียวกับผู้ใช้ราว 500,000 รายทั่วโลก และกรณีนี้ยังเป็นบทเรียนสำหรับหน่วยงานที่กำลังพิจารณานำ AI agent มาใช้ให้ต้องประเมินขอบเขตสิทธิ์ที่มอบให้อย่างรอบคอบ
คำแนะนำ
ผู้ใช้ที่ต้องการลดความเสี่ยงควรใช้ Cowork เวอร์ชันล่าสุดที่ตั้งค่าให้รันบนคลาวด์เป็นค่าปริยาย และหลีกเลี่ยงการรัน agent แบบ local บนเครื่องที่มีข้อมูลอ่อนไหว สำหรับการลดความเสี่ยงเชิงเทคนิค Accomplish AI แนะนำให้ปิดการใช้ unprivileged user namespace เลี่ยงการตั้งตัวกรอง seccomp ให้หลวมเกินไป หยุดการโหลดโมดูลอัตโนมัติ และจำกัดการแชร์ไฟล์ระบบทั้งหมดของ host เข้าสู่ VM โดยให้จำกัดขอบเขตเฉพาะโฟลเดอร์ที่เชื่อมเข้ามาจริงแทนที่จะแชร์ทั้ง ‘/’ หรืออย่างน้อยเมาต์แบบอ่านอย่างเดียว รวมถึงรัน coworkd ด้วย ProtectSystem=strict ใน mount namespace ของตัวเอง เพื่อไม่ให้ session user สามารถวางไบนารีปนเปื้อนได้ เมื่อทำเช่นนี้แล้ว แม้ผู้โจมตีจะได้สิทธิ์ guest-root เต็ม ก็จะไม่มีอะไรให้ต่อยอด และสองขั้นตอนสุดท้ายของลูกโซ่การโจมตีก็จะไปต่อไม่ได้