Questo è, a detta di molti addetti ai lavori, il momento degli agenti AI, ovvero i sistemi basati sull’intelligenza artificiale in grado di agire autonomamente per completare i compiti loro assegnati. Parallelamente alla loro rapida diffusione stanno crescendo anche una serie di preoccupazioni legate ai rischi sui margini di autonomia di questi strumenti e per i rischi legati a un loro comportamento inatteso.

Solo pochi giorni fa due agenti AI di OpenAI sono riusciti a violare i server di Hugging Face senza alcun intervento umano, un episodio su cui nelle stesse ore è tornata anche un’inchiesta di Reuters sui tempi di reazione dell’azienda madre di ChatGPT. Non a caso NVIDIA ha lanciato la Open Secure AI Alliance, un’iniziativa che riunisce diversi big della tecnologia con l’obiettivo dichiarato di rendere più sicuri gli agenti AI. Ora a finire nel mirino dei ricercatori di sicurezza è Claude Cowork, la piattaforma di Anthropic pensata per delegare all’intelligenza artificiale attività complesse su file e applicazioni del computer, da poche settimane disponibile anche su smartphone e web.

Segui TuttoTech.net su Google Discover

Pubblicità-30%HONOR Magic V6, 16GB+512GB
HiHonor
HONOR Magic V6, 16GB+512GB
🎟 Fino 5 omaggi + Coupon -700€: AATG700
1.599€2.299€
Vai all'offerta

Cos’è successo

I ricercatori di Accomplish AI hanno dimostrato che Claude Cowork può uscire dalla sua sandbox, ovvero l’ambiente isolato e protetto in cui l’agente AI può lavorare per evitare che possa accedere a file e dati al di fuori di quelli esplicitamente autorizzati dall’utente. Il ricercatore Oren Yomtov ha raccontato di essere riuscito a far uscire l’agente dalla sandbox collegando una singola cartella a una nuova sessione di Cowork e inviando un solo messaggio, senza che comparisse alcuna richiesta di autorizzazione aggiuntiva. La falla, chiamata SharedRoot, avrebbe permesso di leggere e scrivere file ovunque in tutto il disco del Mac su cui è avvenuto l’episodio, comprese chiavi SSH e credenziali salvate per diversi servizi cloud. Circa mezzo milione di utenti Mac avrebbe avuto sessioni locali di Cowork esposte a questa falla, prima che l’aggiornamento successivo riducesse l’esposizione al problema.

Come funziona (o dovrebbe funzionare) la sandbox di Cowork

Per capire la portata di quanto accaduto è utile spiegare meglio come funziona Cowork. Quando viene usato in modalità locale, l’agente opera all’interno di una macchina virtuale Linux isolata dal resto del sistema, creata con la tecnologia di virtualizzazione di Apple. In teoria, questo ambiente è progettato per impedire all’agente di accedere ai file del Mac, a eccezione delle cartelle che l’utente decide di condividere.

Secondo Accomplish AI, però, all’interno della macchina virtuale sarebbe presente anche un collegamento interno verso il filesystem del Mac, normalmente accessibile solo con privilegi di amministratore. I ricercatori affermano di aver sfruttato una vulnerabilità del kernel Linux, resa pubblica di recente, per ottenere questi privilegi. Una volta ottenuti i privilegi da amministratori della macchina virtuale, sarebbero quindi riusciti ad accedere a quel collegamento e, di conseguenza, a tutti i file presenti sul Mac ospitante. La vulnerabilità non riguardava macOS, ma il kernel Linux utilizzato dalla macchina virtuale in cui Cowork esegue le attività locali.

La risposta di Anthropic

Secondo Accomplish AI, Anthropic avrebbe considerato la segnalazione come una semplice informazione tecnica, senza pubblicare una correzione specifica. La ragione sarebbe legata al fatto che la vulnerabilità del kernel Linux sfruttata nell’attacco era stata resa pubblica da meno di 30 giorni e, per questo, non rientrerebbe nei criteri del programma di ricompense per chi segnala falle di sicurezza dell’azienda.

Nel frattempo, con l’aggiornamento del 7 luglio, Claude Cowork è stato configurato per eseguire le sessioni nel cloud per impostazione predefinita anziché sul computer dell’utente. Questa scelta eliminerebbe il percorso di attacco descritto dai ricercatori. Chi continua a utilizzare la modalità locale, invece, potrebbe restare potenzialmente esposto, a meno di modificare manualmente la configurazione per limitare l’accesso della macchina virtuale al filesystem del Mac.

Va anche precisato che di per sé si è trattato di una dimostrazione condotta dai ricercatori sul proprio Mac in un ambiente controllato. A differenza di altri episodi, come quello di OpenAI con Hugging Face, al momento non risultano segnalazioni di un reale sfruttamento della falla di Cowork ai danni di altri utenti.