Die Kette in sechs Schritten, wie sie der Bericht beschreibt: Der Agent läuft als unprivilegierter Sitzungsnutzer. Er legt einen User-Namespace an, in dem er selbst Root ist und über CAP_NET_ADMIN verfügt. Damit konfiguriert er eine Traffic-Control-Aktion, was das verwundbare Kernel-Modul „act_pedit“ automatisch nachlädt. Über den Speicherfehler in diesem Modul – öffentlich als CVE-2026-46331 („pedit COW“) seit Juni 2026 im Ubuntu-Kernel bekannt – vergiftet er den Page-Cache einer root-eigenen Hilfsdatei. Der Dienst „coworkd“ führt die manipulierte Datei erneut aus, womit der Angreifer Gast-Root erlangt. Von dort liegt das Host-Dateisystem offen, das unter „/mnt/.virtiofs-root“ schreibend eingehängt ist: SSH-Schlüssel und Cloud-Zugangsdaten sind lesbar, in sonst gesperrte Verzeichnisse lässt sich schreiben.
Anthropics Reaktion fällt knapp aus: Der Bericht wurde als „Informative“ geschlossen, weil „the CVE fell inside their program’s window for bugs published in the last 30 days“ – also ein Programm-Kriterium, keine inhaltliche Bewertung der Ausbruchskette. Entschärft ist der Weg dennoch, allerdings durch eine Produktentscheidung: Laut Bericht nutzt Cowork inzwischen standardmäßig die Cloud-Ausführung, und „this local escape path does not appear to apply there“. Wer weiterhin lokal arbeitet, ist auf Härtung angewiesen. Der Forscher nennt vier Ansatzpunkte auf Entwurfsebene: unprivilegierte User-Namespaces abschalten (etwa per „apparmor_restrict_unprivileged_userns=1“), einen restriktiven Seccomp-Filter setzen, der „unshare“, „setns“ und „clone3“ sowie AF_NETLINK blockiert, das automatische Nachladen unnötiger Kernel-Module unterbinden und – der eigentliche Kern – die Host-Freigabe auf die tatsächlich benötigten Ordner begrenzen statt das ganze Dateisystem einzuhängen.
Einordnung und Grenzen: Für SharedRoot selbst existiert keine eigene CVE-Nummer; identifiziert ist nur die zugrunde liegende Kernel-Lücke. Eine Zahl betroffener Nutzer nennt der Primärbericht nicht – wir führen deshalb keine. Die Schwachstellenklasse ist dieselbe, die schon bei GhostApproval sichtbar wurde: Nicht das Modell wird angegriffen, sondern die Ausführungsumgebung, die ihm Handlungsspielraum gibt. Und wie dort entscheidet am Ende der Hersteller, ob er eine Kette aus bekannten Bausteinen als Produktfehler betrachtet.