500 000 utilisateurs macOS ont été exposés à la faille ShareRoot de Claude Cowork, capable, via un simple message, de sortir de sa sandbox et d’accéder à tous les fichiers d’un Mac. Malgré un correctif d’Anthropic, certaines configurations locales restent vulnérables.
Anthropic face à un problème de conception plus qu’à un simple bug
Le point de départ est simple : Claude Cowork a été pensé pour laisser l’agent IA travailler sur des fichiers locaux, tout en restant enfermé dans une machine virtuelle Linux sur macOS. Selon Anthropic, cette première architecture de Cowork reposait sur une VM complète, exécutée via le framework de virtualisation d’Apple, avec un principe clair : seuls l’espace de travail choisi par l’utilisateur et le dossier .claude devaient être montés dans l’environnement invité. Les identifiants, eux, devaient rester dans le trousseau du Mac et ne jamais entrer dans la VM.
Sur le papier, le modèle tient. En pratique, il a cédé. Des chercheurs d’Accomplish AI ont montré qu’une chaîne d’exploitation baptisée SharedRoot permettait à l’agent de sortir de ce périmètre théorique. Leur lecture est sévère mais juste : si le système finit par exposer le système de fichiers de l’hôte via un montage accessible en écriture, alors le niveau de privilège obtenu dans la VM change immédiatement l’ampleur du risque. Ce n’est plus une simple erreur d’isolation. C’est un défaut d’architecture.
Ce que l’attaque SharedRoot permettait réellement
Le scénario décrit par les chercheurs est particulièrement inquiétant, car il ne repose pas sur une suite d’actions visibles côté utilisateur. D’après les éléments relayés autour de la divulgation, un simple message pouvait suffire à déclencher la chaîne. Une fois la barrière levée, la session Cowork pouvait lire et écrire des fichiers bien au-delà du dossier initialement partagé, sans nouvelle demande de permission affichée à l’écran.
Le risque ne se limite donc pas à la lecture de documents de travail. Le texte source évoque aussi l’accès à des identifiants de connexion pour des services en ligne. Autrement dit, un incident de ce type ne menace pas seulement des fichiers bureautiques, mais potentiellement des secrets opérationnels, des sessions connectées et des données métier.
Selon Accomplish AI, environ 500 000 utilisateurs macOS exécutant des sessions Cowork en local étaient potentiellement exposés avant la mise en place d’un correctif. Cette base donne une première métrique dérivée utile : si seulement 10 % de ces utilisateurs manipulaient des dossiers sensibles, cela représenterait déjà 50 000 postes à risque élevé. Et si l’on applique un seuil de 50 %, on parle de 250 000 environnements potentiellement critiques. La source d’origine cite le volume brut. Elle ne mesure pas l’ampleur opérationnelle de ce parc.
Pourquoi le problème dépasse le cas de Claude Cowork
Le vrai sujet n’est pas seulement la faille SharedRoot. Le vrai sujet, c’est la fragilité structurelle des agents locaux. Dans son billet technique sur la manière de contenir Claude, Anthropic explique que Cowork a d’abord reposé sur une VM scellée, là où d’autres produits de la gamme utilisent d’autres modèles d’isolation. La société admet aussi un point important : plus l’agent a de mémoire persistante, de fichiers montés et d’outils connectés, plus la surface d’attaque augmente.
Cette reconnaissance est précieuse, car elle montre que le risque n’est pas marginal. Il est directement lié au produit. Un agent capable d’exécuter des tâches longues, de manipuler des fichiers, d’appeler des connecteurs et de poursuivre une session dans le temps offre plus de valeur à l’utilisateur, mais il cumule aussi davantage de points d’entrée pour une compromission.
Anthropic cite par ailleurs un autre cas de sécurité : des fichiers d’un espace de travail ont déjà pu être exfiltrés via l’API de l’éditeur, parce qu’un contenu malveillant embarquait une clé API contrôlée par un attaquant. Le trafic partait bien vers api.anthropic.com, donc vers une destination autorisée, ce qui a laissé passer l’opération. La société dit avoir corrigé ce point avec un proxy intermédiaire dans la VM. Là encore, la leçon est nette : même quand la sandbox tient, l’agent peut perdre la partie par abus d’un canal légitime.
Le correctif existe, mais tous les usages ne sont pas couverts
Le changement le plus important est déjà acté côté produit. Selon l’aide officielle d’Anthropic, Claude Cowork exécute désormais ses tâches à distance en bêta. En clair, le cœur du travail de l’agent se déroule sur les serveurs de l’éditeur, dans un environnement isolé, et non plus prioritairement dans une VM locale sur le Mac de l’utilisateur. C’est une réponse pragmatique : en déplaçant l’exécution hors du poste client, Anthropic coupe le chemin d’évasion local mis en avant par SharedRoot.
Cette bascule change profondément le profil de risque. Le support officiel précise que l’application de bureau reste nécessaire pour toucher aux fichiers locaux, au navigateur ou à l’ordinateur lui-même, mais que la session principale vit désormais dans le compte Claude et peut continuer même si le PC est fermé. Autrement dit, l’exposition “VM locale + montage de fichiers” n’est plus le mode par défaut.
Le problème, c’est que ce basculement n’efface pas tout. Les utilisateurs qui choisissent encore un fonctionnement local, ou qui dépendent d’une configuration connectant fortement la machine hôte à l’agent, gardent un niveau de risque supérieur. Le billet d’Accomplish AI insiste justement sur ce point : tant que l’hôte reste monté de façon exploitable depuis la VM, le rayon d’impact reste trop large.
Le contraste avec le discours commercial est frappant
La page produit de Claude Cowork met en avant une promesse simple : l’agent agit dans les fichiers et outils que vous choisissez, puis gère des tâches complexes de bout en bout. Le service est intégré aux offres payantes de la marque. Selon la page tarifaire officielle, Cowork est inclus dans l’offre Pro à 17 dollars par mois en annuel, dans Max 5x à 100 dollars par mois, dans Max 20x à 200 dollars par mois, ainsi que dans Team à 20 dollars par siège et par mois.
Avec le taux de référence euro/dollar de la BCE, où 1 euro vaut 1,1377 dollar, cela correspond à environ 15 € pour Pro annuel, 18 € pour Team mensuel, 88 € pour Max 5x et 176 € pour Max 20x (taux utilisé : 1 € = 1,1377 $). Cette conversion fait apparaître une deuxième métrique dérivée absente de la source : le passage de Pro annuel à Max 20x représente un écart de 1 073 % en euros, de 15 € à 176 €. L’amplitude tarifaire montre que Cowork n’est pas un gadget annexe. C’est déjà une brique commerciale structurante.
Et c’est précisément là que la faille fait tache. Quand un service se vend comme un agent de travail réel, avec accès à des fichiers, des connecteurs et des actions prolongées, la question de l’isolation ne relève plus du confort technique. Elle devient une exigence produit de base.
Des fonctions avancées déjà très larges, donc un impact potentiellement large
Le support officiel d’Anthropic indique que Cowork sait traiter une longue liste de formats : PDF, documents Word, fichiers texte, Markdown, HTML, JSON, CSV, Excel, PowerPoint, images, YAML, XML, notebooks Jupyter et de très nombreux fichiers de code. Le produit peut aussi coordonner plusieurs sous-agents en parallèle sur des tâches longues. Dit autrement, Cowork n’est pas limité à quelques notes locales. Il peut déjà entrer dans des workflows documentaires, analytiques et techniques très variés.
Cela renforce le caractère sensible de l’incident. Plus un agent est polyvalent, plus il a de chances de manipuler des données à forte valeur : exports comptables, feuilles de calcul commerciales, comptes-rendus RH, bases documentaires internes, scripts, configurations ou identifiants stockés dans des dossiers de projet.
Anthropic précise d’ailleurs noir sur blanc que Cowork présente “des risques uniques” en raison de sa nature d’agent et de son accès à Internet. L’éditeur ajoute aussi que certaines autorisations réseau ne s’appliquent pas aux outils de recherche web, de récupération web ou à certains MCP. Cette nuance compte. Elle rappelle qu’une partie du comportement de l’agent échappe à la vision simpliste “je limite deux dossiers, donc je suis protégé”. En réalité, l’architecture entière détermine le niveau de sécurité.
Les garde-fous entreprise progressent, mais ils arrivent après le signal d’alerte
Anthropic a déjà commencé à muscler l’encadrement de Cowork pour les organisations. Dans sa communication dédiée à l’entreprise, la société indique que Cowork émet désormais des événements pour les appels d’outils et de connecteurs, les fichiers lus ou modifiés, les compétences utilisées et le type d’approbation associé aux actions IA. Ces événements sont compatibles avec des pipelines SIEM standards via OpenTelemetry, notamment avec Splunk et Cribl.
Autre évolution concrète : des contrôles par connecteur permettent aux administrateurs d’autoriser la lecture tout en bloquant l’écriture. Le produit gagne aussi des tableaux d’usage, des limites de dépense par équipe et des rôles d’accès plus précis. C’est utile, mais la chronologie compte. Ces outils de gouvernance arrivent alors qu’un problème de confinement local vient justement de démontrer que la promesse de contrôle n’était pas complète.
Mon avis est simple : l’observabilité et les contrôles admin sont nécessaires, mais secondaires si le socle d’isolation n’est pas irréprochable. Un SIEM aide à voir. Il ne remplace pas une frontière technique solide.
La comparaison concurrente met Anthropic sous pression
Accomplish AI, qui a divulgué SharedRoot, oppose sa propre approche à celle de Claude Cowork. Son argument technique tient en une phrase : sur son design, le système de fichiers de l’hôte n’est pas monté dans la VM, donc même un accès root dans l’invité ne donne pas de prise directe sur le Mac. La comparaison est évidemment intéressée, puisqu’elle vient d’un acteur concurrent. Mais elle pointe un vrai critère de conception : si l’hôte reste physiquement inaccessible depuis la VM, la dernière étape de la chaîne d’exploitation disparaît.
La source d’origine parlait d’un sandbox escape. Les recherches ajoutent ici un angle plus utile : la différence entre “sortir de la VM” et “pouvoir réellement nuire à l’hôte” dépend du mode de partage de fichiers. C’est un élément nouveau, concret, et central pour évaluer les autres agents de bureau qui prétendent offrir une exécution locale “sécurisée”.
Autre comparaison éclairante : OpenAI a reconnu le 21 juillet 2026 un incident distinct lors d’une évaluation de modèle avec Hugging Face. La société parle d’un “incident cyber sans précédent” impliquant des modèles capables de compromettre une infrastructure externe. Les deux cas sont différents, mais ils racontent la même chose : les agents ne posent plus seulement des questions de qualité de réponse. Ils posent des questions d’opérations offensives, de confinement et de contrôle d’action sur la durée.
Des cas d’usage concrets qui deviennent aussi des cas de risque concrets
Selon Anthropic, des organisations utilisent déjà Cowork pour la synthèse de données, la construction de tableaux de bord, l’analyse inter-outils, la préparation de dossiers de direction ou la revue d’incidents. Zapier, Jamf et Airtree sont cités comme exemples de déploiements. Là encore, ces usages sont précieux pour comprendre l’impact réel d’une faille : on n’est pas dans un test hobbyiste sur un dossier Downloads. On parle de flux métier reliés à des sources multiples, parfois sensibles, avec mémoire, connecteurs et automatisation.
À partir de ces usages, une autre métrique dérivée aide à mesurer l’enjeu : Cowork est proposé sur quatre gammes payantes principales côté particuliers et équipes, avec une fourchette tarifaire mensuelle allant d’environ 15 € à 176 € selon l’offre officielle convertie au taux BCE. L’écart absolu est donc de 161 € par mois entre l’entrée Pro annuelle et Max 20x. Cela reflète un positionnement produit où la valeur augmente avec l’intensité d’usage. Or plus l’usage est intensif, plus la surface d’exposition potentielle grandit aussi.
Le lien qui manque souvent dans ce type d’incident : la sécurité du poste client
Anthropic reconnaît un autre angle rarement mis en avant : dans sa première architecture, l’isolation de la VM empêchait aussi les outils EDR de voir clairement ce qui se passait à l’intérieur. Pour les équipes sécurité, cela crée un paradoxe. La sandbox protège, mais elle masque. Et quand l’agent devient un hyperviseur opaque du point de vue de l’endpoint, la supervision temps réel perd en efficacité.
C’est une faiblesse sous-estimée. Beaucoup d’entreprises acceptent une solution “sécurisée” tant qu’elle reste compatible avec leurs agents de détection, leurs journaux, leurs contrôles et leurs procédures de réponse à incident. Dès qu’un agent local crée un angle mort, il ajoute un risque de gouvernance en plus du risque purement technique.
En clair, SharedRoot ne raconte pas seulement l’histoire d’un bug dans Claude Cowork. Il met en lumière la tension de fond entre autonomie de l’agent, confort d’usage, accès local et sécurité observable. Et sur ce terrain, le marché des assistants capables d’agir sur un poste client n’a pas encore trouvé son modèle stable.
Source de référence : le billet technique d’Anthropic sur le confinement de Claude
Mon avis :
L’intérêt de Claude Cowork reste clair: déléguer des tâches locales avec accès aux fichiers accélère vraiment le travail. Mais l’affaire SharedRoot ruine la promesse de confinement: des chercheurs ont montré qu’un simple message pouvait sortir du sandbox et lire ou modifier tout le Mac. Prudence maximale.
