【安全圈】Claude Cowork沙箱逃逸，虚拟机形同虚设|desktop|dll|windows|服务器|沙箱|虚拟机

关键词

漏洞

近日，安全研究团队Armadin披露了Anthropic旗下Windows版Claude Desktop的一项安全缺陷：攻击者可利用本地组件突破Claude Cowork的沙箱隔离，在Hyper-V虚拟机中获取root权限，并绕过网络访问限制。

什么是Claude Cowork？

Claude Cowork是Anthropic推出的自动化工具，能在隔离的虚拟机环境中运行Claude Code，帮助用户处理文件、提取数据、生成报告等。在Windows版中，它基于Hyper-V隔离的Ubuntu虚拟机运行，官方宣称"安全沙箱"可以降低风险。

漏洞是怎么被利用的？

问题出在Windows本地服务CoworkVMService上。这个服务负责接收Claude Desktop的请求并转发到虚拟机中执行。研究人员通过DLL侧载（DLL Sideloading）手段，让经过Anthropic数字签名的claude.exe加载恶意DLL，使恶意代码在合法进程中运行，从而绕过CoworkVMService对调用程序身份的验证。

更关键的是，部分执行参数可以直接修改虚拟机的安全配置——包括指定以root身份执行命令、覆盖域名白名单。两者结合，攻击者不仅能拿到虚拟机最高权限，还能把数据偷偷外传到外部服务器。

Anthropic：不算漏洞

对此，Anthropic的回应是：该攻击链需要攻击者已获得Windows主机本地代码执行能力，因此不认定为安全漏洞。

但研究团队并不认同。他们指出，DLL侧载利用的是Claude Desktop自身加载机制的缺陷，并非用户系统本身有问题。建议企业如不需要Claude Cowork，可直接卸载Claude Desktop；若必须使用，则应限制可运行该应用的用户权限，并监控claude.exe是否从非系统目录加载可疑DLL。

并非首次翻车

值得注意的是，这已不是Claude系列工具第一次在沙箱安全上出问题。此前Claude Code的网络沙箱也被发现存在两个完整绕过漏洞，涉及SOCKS5协议空字节注入等经典攻击手法，影响长达5个半月、跨越130多个版本，Anthropic同样选择了静默修复、未发安全通告。

AI编程工具越来越强大，但"安全沙箱"如果只是看起来安全，比没有沙箱更危险。厂商在追求功能的同时，安全透明度和漏洞响应机制同样需要跟上。