CLAUDE COWORK POUVAIT FOUILLER TOUT VOTRE MAC SANS JAMAIS DEMANDER LA MOINDRE PERMISSION

n dossier connecté, un message envoyé, et l’agent d’Anthropic s’est promené dans l’intégralité du disque. Aucune fenêtre d’autorisation, aucune alerte. Les agents qui écrivent du code reposent tous sur la même promesse : on les enferme dans un espace clos, on leur ouvre l’accès à un dossier précis, et on les laisse travailler l’esprit tranquille. Des chercheurs en sécurité viennent de démontrer que chez l’agent de bureau d’Anthropic, cet espace clos tenait davantage de la ligne tracée au sol que du mur porteur. Ils ont raccordé un dossier à une session neuve, envoyé un message court, et regardé l’agent sortir. L’application macOS lance une machine virtuelle Linux et y installe l’agent sous un compte dépourvu de privilèges, ce qui ressemble à une précaution sérieuse. Un cran en dessous, la mécanique est nettement moins rassurante : la racine du Mac est montée dans cette machine virtuelle en lecture et en écriture, accessible au seul superutilisateur du système invité. Le coffre de la banque était donc posé dans le hall d’accueil, avec pour unique protection le fait que la clé soit rangée en hauteur. La session pouvait créer un espace de noms réseau, en tirer une capacité d’administration, puis déclencher le chargement automatique d’un module du noyau Linux affecté par une faille publique. Superutilisateur obtenu côté machine virtuelle, tout devenait lisible et modifiable avec les droits de l’utilisateur connecté : clés SSH, identifiants de services en ligne et le reste du disque, très au-delà du dossier initialement partagé. Le signalement est arrivé chez Anthropic, qui l’a classé en « informatif » sans publier de correctif de code. La version suivante de l’outil bascule par défaut l’exécution vers les serveurs de l’entreprise, ce qui referme le chemin d’attaque local sans rien changer pour celles et ceux qui continuent de travailler sur leur machine. Le détail qui pique se trouve dans la parade recommandée par les chercheurs, à savoir empêcher le chargement automatique des modules inutiles. Elle est déjà appliquée dans l’outil pour un autre module, précisément pour fermer une faille antérieure. Le motif existait dans l’image, il n’a simplement pas été étendu. L’entreprise Accomplish AI, à l’origine de la découverte, avance le chiffre de 500 000 utilisateurs macOS concernés avant la bascule, une estimation qu’elle est seule à porter. Aucune exploitation réelle n’a par ailleurs été constatée, il s’agit d’une démonstration menée en laboratoire et non d’une campagne en cours. L’arrivée de cette nouvelle option de personnalisation permet à Windows 11 de faire mieux que les systèmes d’exploitation concurrents. macOS propose bien de définir l’emplacement du clic secondaire (avec un ou plusieurs doigts), mais l’OS d’Apple ne permet pas de définir la taille de la zone cliquable. Sur Linux, cette possibilité existe, mais requiert a priori l’installation de paquets supplémentaires pour être prise en charge.