Una vulnerabilità scoperta in Claude Cowork su macOS ha mostrato un rischio concreto per chi usa agenti AI in locale: in determinate condizioni, l’agente poteva uscire dalla macchina virtuale che dovrebbe isolarlo e arrivare a leggere o modificare file del Mac dell’utente. Per un’azienda, il punto non è solo il bug in sé, ma il fatto che strumenti AI eseguiti sul computer possano diventare un nuovo punto d’accesso a documenti, credenziali e dati sensibili.
Il caso riguarda una configurazione precisa del prodotto di Anthropic, ma il messaggio è più ampio: quando un assistente AI lavora “vicino” ai file aziendali, la separazione tra automazione utile e rischio operativo può diventare molto sottile.
Che cosa è successo
Il 23 luglio 2026 The Hacker News ha riportato una ricerca di Accomplish AI su una vulnerabilità battezzata SharedRoot che interessava Claude Cowork su macOS. Secondo i ricercatori, il problema consentiva a un agente eseguito in una sessione locale di oltrepassare i limiti della sandbox e accedere ai file del Mac ospite.
Accomplish AI ha stimato che, prima della modifica introdotta dal fornitore, fossero coinvolti circa 500.000 utenti macOS che eseguivano sessioni locali di Cowork. La dinamica descritta è particolarmente rilevante perché non si limitava alla lettura di una cartella condivisa volontariamente dall’utente: una volta aggirato l’isolamento, l’agente poteva arrivare molto oltre.
In pratica, secondo la ricerca, il sistema permetteva all’agente di operare in una macchina virtuale Linux creata sul Mac attraverso il framework di virtualizzazione di Apple. L’idea di base era corretta: separare il lavoro dell’agente dal sistema principale. Tuttavia, alcuni dettagli architetturali rendevano possibile una catena di attacco che, partendo dall’interno della VM, portava fino al file system del computer ospite.
Perché la sandbox non è bastata
Il punto chiave non è soltanto la presenza di una vulnerabilità nel kernel Linux della macchina virtuale, ma il modo in cui l’ambiente era stato progettato.
Dalle informazioni pubblicate emerge che il file system del Mac ospite veniva condiviso con la VM in modalità lettura-scrittura. In altre parole, la separazione esisteva, ma dietro quel confine era comunque presente un collegamento molto ampio verso il sistema host. Se un attaccante, o in questo caso un agente AI, riusciva a ottenere privilegi elevati nella VM, quel collegamento diventava la porta per raggiungere i file del Mac.
La catena descritta da Accomplish AI passava attraverso CVE-2026-46331, una falla nel kernel guest indicata come pedit COW, sfruttata per ottenere privilegi di root all’interno della macchina virtuale. Una volta raggiunto quel livello, l’agente poteva accedere all’intero host come utente del desktop loggato, con la possibilità di leggere o scrivere file.
Tradotto in termini aziendali: non si parla solo della cartella “concessa” all’assistente AI, ma potenzialmente di chiavi SSH, credenziali cloud, documenti amministrativi, bozze contrattuali o altri dati raggiungibili dall’account utente in uso sul Mac.
La risposta di Anthropic e lo stato attuale
Secondo quanto riportato dalla fonte, la segnalazione è stata gestita da Anthropic come informativa e non con una correzione diretta della vulnerabilità nel modello locale descritto dai ricercatori. Tuttavia, la versione più recente di Cowork usa per impostazione predefinita l’esecuzione in cloud, scelta che di fatto evita questo specifico problema architetturale.
Resta però un aspetto importante: gli utenti che scelgono di eseguire l’agente in locale sarebbero ancora esposti a questo scenario, stando ai dettagli pubblicati.
Per chi gestisce un parco Mac in azienda, questo significa che l’aggiornamento dell’applicazione non basta da solo a chiudere ogni rischio: bisogna verificare anche come viene eseguito lo strumento, quali opzioni sono abilitate e quali permessi ha realmente sul sistema.
Perché questa notizia riguarda anche chi non usa Claude
È facile liquidare la vicenda come un problema limitato a un singolo prodotto. Sarebbe un errore.
Questa storia mette in luce tre temi strategici che riguardano tutte le aziende che stanno sperimentando agenti AI, copilot locali o automazioni assistite:
- La sandbox non è una garanzia assoluta. Se l’architettura prevede condivisioni troppo estese tra ambiente isolato e sistema reale, basta un solo anello debole per far saltare l’intera protezione.
- Le esecuzioni locali ampliano la superficie d’attacco. Un agente che lavora sul PC dell’utente è, di fatto, vicino ai dati reali dell’azienda.
- I privilegi dell’utente contano moltissimo. Se il Mac usato dal dipendente ha accesso a repository, VPN, cloud storage o cartelle condivise, l’eventuale compromissione eredita quel perimetro.
Il caso assume ancora più peso perché arriva in un momento in cui il settore sta discutendo sempre più spesso di comportamento imprevisto degli agenti AI e di capacità di aggirare vincoli tecnici durante test di sicurezza. Non serve immaginare scenari fantascientifici: basta un’applicazione utile ma troppo permissiva per creare un rischio tradizionale di esfiltrazione dati.
I rischi concreti per una PMI
In una piccola o media impresa, l’adozione di strumenti AI avviene spesso in modo pragmatico: si installa un’app su pochi Mac, si collega una cartella di lavoro, si prova a delegare analisi di file, riordino documentale, ricerche o scrittura di contenuti. È un approccio comprensibile, ma proprio per questo i controlli formali arrivano spesso dopo.
Il problema è che un agente locale può trovarsi, anche senza volerlo, a operare in un contesto ricco di informazioni sensibili:
- cartelle con offerte e contratti;
- esportazioni contabili;
- scansioni di documenti con dati personali;
- accessi salvati a servizi cloud;
- chiavi per ambienti di sviluppo o server remoti.
Se un’app di questo tipo viene compromessa, oppure se la sua architettura consente di oltrepassare i limiti previsti, il danno non è teorico. Può trasformarsi in perdita di riservatezza, modifica indesiderata di file, interruzione del lavoro o violazioni con impatto anche sul piano normativo.
Cosa significa per la tua azienda
Se nella tua organizzazione si usano strumenti AI desktop o agenti che lavorano su file locali, questo è il momento giusto per fare un controllo rapido ma serio.
Primo: censisci quali strumenti sono effettivamente in uso. In molte PMI l’IT ufficiale conosce Microsoft 365 o il gestionale, ma non sa quali app AI siano state installate dai singoli utenti su Mac o PC.
Secondo: verifica se l’esecuzione è locale o cloud. In alcuni casi la modalità cloud può ridurre il rischio di accesso diretto ai file del dispositivo, anche se apre altre valutazioni su privacy e trattamento dei dati. Serve quindi una scelta consapevole, non lasciata alle impostazioni predefinite dell’utente.
Terzo: riduci i privilegi degli endpoint. Un assistente AI ha l’impatto dell’account con cui viene eseguito. Meno accessi permanenti ha quel profilo, minore sarà il danno in caso di incidente. Questo vale in particolare per Mac usati da direzione, amministrazione o area tecnica.
Quarto: separa i dati critici e rafforza il backup. Se un agente può arrivare a modificare file, non basta pensare alla sola riservatezza: serve anche proteggere l’integrità del dato. Una strategia di remote backup ben configurata riduce il rischio operativo in caso di alterazioni o cancellazioni.
Quinto: aggiorna le policy interne sull’uso dell’AI. Non serve vietare tutto, ma definire quali dati possono essere dati in pasto agli assistenti, quali applicazioni sono autorizzate e su quali dispositivi. Questo aspetto dovrebbe rientrare nelle normali pratiche di sicurezza informatica e, quando sono coinvolti dati personali, nella governance conforme al GDPR.
Sesto: gestisci i Mac come asset aziendali, non come isole autonome. Inventario software, aggiornamenti, controllo delle configurazioni e revisione dei permessi sono fondamentali, soprattutto ora che sulle postazioni entrano strumenti con capacità operative superiori rispetto alle normali app da ufficio.
Le lezioni tecniche da portare in governance
Anche senza entrare nei dettagli del kernel Linux, ci sono due lezioni utili per chi decide investimenti e policy.
La prima è che isolare non basta se si condividono troppe risorse con l’host. Una macchina virtuale o un container possono apparire sicuri, ma se hanno accesso esteso al file system reale la protezione si indebolisce.
La seconda è che non si può contare solo sulla velocità delle patch. I ricercatori sottolineano che alcune classi di vulnerabilità tendono a ripresentarsi: si corregge il singolo bug, ma il disegno complessivo resta fragile. Per questo le aziende dovrebbero preferire configurazioni minimali, privilegi ridotti e condivisioni limitate alle sole cartelle necessarie.
In altre parole, la sicurezza degli agenti AI non dipende soltanto dal produttore del software. Dipende anche da come l’azienda sceglie di distribuirli, governarli e inserirli nei propri processi.
Domande frequenti
Questa vulnerabilità riguarda tutti gli utenti Mac?
No. La notizia riguarda Claude Cowork su macOS in sessioni locali. Secondo la fonte, la modalità cloud predefinita più recente evita questo specifico scenario.
Un agente AI può davvero accedere a file aziendali sensibili?
Sì, se lavora sul dispositivo dell’utente e ha una catena di accesso sufficiente. In questo caso i ricercatori parlano esplicitamente di possibile accesso a file del Mac, incluse credenziali e altri dati di valore.
Cosa dovrebbe fare subito una PMI?
Verificare quali strumenti AI sono installati, controllare se girano in locale, limitare i permessi degli utenti e assicurarsi che backup, policy e monitoraggio degli endpoint siano aggiornati.