Votre Mac n’avait plus de secrets : l’IA d’Anthropic pouvait tout explorer sans autorisation

Le Mac n'avait plus aucun secret pour l'agent de bureau de Claude Cowork, l'assistant IA d'Anthropic destiné à macOS. Des chercheurs en sécurité de la société Accomplish AI ont démontré qu'après avoir simplement partagé un dossier avec l'agent et lui avoir envoyé une courte instruction, celui-ci pouvait sortir de l'environnement isolé qui lui était censé être réservé et accéder à l'intégralité du disque de la machine, en lecture comme en écriture. L'outil s'appuie pourtant sur une machine virtuelle Linux dans laquelle l'agent tourne avec un compte limité, sans privilèges administrateur. Mais le disque entier du Mac se trouvait relié à cet espace virtuel sans restriction suffisante. En exploitant une vulnérabilité Linux déjà connue, l'agent pouvait obtenir les privilèges les plus élevés et ainsi parcourir ou modifier n'importe quel fichier appartenant à l'utilisateur, y compris les clés SSH et les identifiants enregistrés sur la machine. Les chercheurs précisent qu'il s'agissait uniquement d'une démonstration en laboratoire et que personne n'a exploité la faille de façon malveillante.

Cette découverte interroge directement la confiance que l'on peut accorder aux agents IA de bureau, une catégorie d'outils en plein essor censée automatiser la rédaction de code, la gestion de fichiers ou des tâches répétitives sans intervention humaine constante. Le principe même de ces agents repose sur un périmètre d'action restreint à un dossier ou une tâche précise. Si cette limite peut être contournée aussi facilement, c'est la promesse de sécurité de toute la catégorie qui vacille, avec un risque concret d'exfiltration de données personnelles ou professionnelles sensibles pour les utilisateurs qui installent ces assistants sur leur ordinateur principal. Accomplish AI estime qu'environ 500 000 utilisateurs de macOS auraient pu être concernés avant que la faille ne soit neutralisée, un chiffre avancé par l'entreprise mais non confirmé par Anthropic.

Face à ce signalement, Anthropic l'a classé comme simplement « informatif » et n'a publié aucun correctif dédié à cette vulnérabilité précise. L'entreprise a toutefois fait évoluer son produit : la version suivante de l'outil exécute désormais les tâches à distance par défaut, via ses propres serveurs, ce qui neutralise ce scénario d'attaque pour la majorité des utilisateurs. Les personnes continuant à utiliser une exécution entièrement locale restent en revanche exposées au même risque. Les chercheurs notent enfin qu'une protection équivalente existait déjà dans le logiciel pour bloquer une faille similaire, mais qu'elle n'avait simplement jamais été étendue à ce nouveau cas de figure.