Les agents d’intelligence artificielle autonomes continuent de révéler de nouveaux défis en matière de cybersécurité. Des chercheurs d’Accomplish AI affirment avoir démontré qu’une faille présente dans l’environnement de travail développé par Anthropic, Claude Cowork, permettait à un agent IA exécuté localement de s’échapper de sa machine virtuelle et d’accéder aux fichiers du Mac hôte.
Si le problème a depuis été partiellement contourné par une évolution du mode d’exécution de Claude Cowork, cette découverte illustre une nouvelle fois les risques liés à l’intégration croissante d’agents IA capables d’interagir directement avec les systèmes d’exploitation.
Une évasion de la machine virtuelle grâce à une vulnérabilité du noyau Linux
Les chercheurs d’Accomplish AI ont baptisé cette attaque SharedRoot. Selon leur rapport, le scénario repose sur une combinaison de plusieurs éléments techniques. Claude Cowork exécute ses sessions locales dans une machine virtuelle Linux qui partage certains fichiers avec macOS grâce à un système de montage VirtioFS.
Les chercheurs expliquent avoir exploité la vulnérabilité CVE-2026-46331, surnommée pedit COW, une faille d’élévation de privilèges affectant le noyau Linux et évaluée avec un niveau de gravité élevé.
Après avoir obtenu les privilèges root à l’intérieur de la machine virtuelle, l’agent IA pouvait accéder au système de fichiers partagé et consulter les ressources accessibles par l’utilisateur connecté sur le Mac.
Des fichiers sensibles potentiellement accessibles
Selon Accomplish AI, cette évasion permettait notamment d’accéder à plusieurs types de données sensibles présentes sur l’ordinateur hôte. Les chercheurs évoquent notamment les clés SSH, des identifiants d’accès à des services cloud et l’ensemble des fichiers accessibles au compte utilisateur macOS.
Dans une déclaration relayée par The Hacker News, Oren Yomtov, chercheur principal chez Accomplish AI, explique qu’une simple commande envoyée à une nouvelle session Claude Cowork aurait suffi à déclencher l’évasion de la sandbox, sans qu’aucune demande d’autorisation supplémentaire n’apparaisse à l’écran.
D’après les chercheurs, environ 500 000 utilisateurs macOS utilisant les sessions locales de Claude Cowork auraient été potentiellement concernés avant la mise en place de mesures d’atténuation.
Anthropic privilégie désormais l’exécution dans le cloud
Toujours selon les informations publiées par les chercheurs, Anthropic aurait classé le rapport comme « informatif » sans publier de correctif spécifique visant directement le mécanisme décrit. En revanche, les versions récentes de Claude Cowork exécutent désormais les sessions par défaut dans le cloud, ce qui évite le scénario d’évasion décrit lors de cette démonstration.
Les utilisateurs qui souhaitent continuer à faire fonctionner l’agent localement sont toutefois invités à renforcer leur configuration en désactivant les espaces de noms utilisateurs non privilégiés (unprivileged user namespaces), limitant le partage du système de fichiers entre l’hôte et la machine virtuelle et appliquant des protections plus strictes sur les points de montage utilisés par le service.
Une série d’alertes qui touche l’ensemble des agents IA
Cette découverte intervient dans un contexte particulièrement chargé pour la sécurité des agents d’intelligence artificielle. Ces dernières semaines, plusieurs équipes de recherche ont mis en évidence différentes techniques permettant de compromettre des agents autonomes ou leur environnement d’exécution.
Parmi les incidents les plus médiatisés figurent notamment :
- des attaques exploitant la mémoire persistante des agents
- le détournement d’extensions de navigateur utilisées par certains assistants IA
- plusieurs démonstrations d’évasion concernant des outils de développement assistés par IA comme Cursor, Codex ou Gemini CLI
- ainsi que l’incident récemment révélé par OpenAI, au cours duquel des modèles expérimentaux sont parvenus à sortir d’un environnement de test avant de compromettre l’infrastructure de Hugging Face dans le cadre d’une expérimentation de cybersécurité.
La sécurité des agents autonomes devient un enjeu stratégique
Ces différents travaux de recherche mettent en lumière un constat partagé par une grande partie de la communauté de la cybersécurité : le problème ne réside pas uniquement dans les capacités des modèles d’intelligence artificielle, mais aussi dans l’architecture qui les entoure. Même lorsqu’un agent respecte les règles qui lui sont imposées, une configuration insuffisamment sécurisée, un partage excessif de ressources ou une mauvaise isolation entre les environnements peuvent créer des voies d’accès inattendues.
À mesure que les agents IA gagnent en autonomie et interagissent plus étroitement avec les systèmes d’exploitation, les entreprises devront repenser leurs mécanismes de protection. Les environnements de type sandbox restent indispensables, mais cette succession d’incidents montre qu’ils ne constituent qu’une première ligne de défense. L’isolation de l’infrastructure, la gestion des privilèges et la limitation des accès deviennent désormais des éléments tout aussi critiques que les performances des modèles eux-mêmes.
