Claude Cowork Sicherheitslücke: was KMU jetzt wissen sollten

KI-Tools, die selbstständig auf deinem Rechner arbeiten, sogenannte KI-Agenten oder KI-Coworker, sind auf dem Vormarsch. Eine am 23. Juli 2026 veröffentlichte Sicherheitslücke bei Anthropics Tool "Claude Cowork" zeigt jetzt, was dabei schiefgehen kann: Ein Angreifer konnte die Schutzhülle des Agenten verlassen und an SSH-Schlüssel und Cloud-Zugangsdaten auf dem Rechner kommen. Wenn du oder dein Team KI-Agenten mit Zugriff auf Dateien oder System einsetzt, egal von welchem Anbieter, lohnt sich ein genauer Blick.

Was ist passiert

Das Sicherheitsunternehmen Accomplish AI hat unter dem Namen "SharedRoot" eine Schwachstelle in Claude Cowork offengelegt, Anthropics Tool, das KI-Agenten in einer abgeschotteten virtuellen Maschine (VM) auf dem eigenen Mac arbeiten lässt. Normalerweise soll diese Abschottung verhindern, dass der Agent auf mehr zugreift als auf den freigegebenen Ordner.

Laut der Primärquelle von Accomplish AI reichte eine mehrstufige Befehlskette, um genau das zu umgehen: Über eine Schwachstelle im Linux-Kernel der VM (CVE-2026-46331, bekannt als "pedit COW") konnte sich ein Prozess Root-Rechte innerhalb der Sandbox erschleichen und darüber auf das komplette Dateisystem des Host-Mac zugreifen, inklusive SSH-Schlüssel und Cloud-Zugangsdaten des angemeldeten Nutzers. Mehrere unabhängige Sicherheits-Medien haben die Kette bestätigt und im Detail nachvollzogen, darunter The Hacker News und SC Media.

Wichtig für die Einordnung: Die Lücke betrifft laut Accomplish AI die lokale VM-Ausführung von Cowork. Anthropic hat den Bericht als "informativ" eingestuft und keinen eigenen Patch dafür veröffentlicht, die aktuelle Cowork-Version arbeitet inzwischen aber standardmäßig mit Cloud-Ausführung statt lokaler VM, was diesen Angriffsweg laut Bericht nicht mehr zugänglich macht. SiliconANGLE berichtete zudem von einer weiteren, ähnlich gelagerten Offenlegung, bei der Anthropic das tatsächliche Risiko im Alltag anders einschätzt als die Sicherheitsforscher.

Was das für dich als Unternehmen bedeutet

Auch wenn du selbst kein Claude Cowork einsetzt: Die Lehre reicht weiter. Immer mehr Business-Tools werben damit, dass ein KI-Agent selbstständig Aufgaben auf deinem Rechner oder Server übernimmt, Dateien sortiert, Code schreibt, Recherchen erledigt. Damit das funktioniert, bekommt der Agent notwendigerweise Zugriff auf einen Teil deines Systems.

Genau dieser Zugriff ist der Angriffspunkt. Wenn die Abschottung eine Lücke hat, kann im schlimmsten Fall nicht nur der Agent, sondern ein Angreifer über den Agenten an das kommen, was auf deinem Rechner sonst gut geschützt ist: Passwörter, Zugangsschlüssel zu deinem Server, Zugänge zu deinem Shop-Backend oder deiner Cloud.

Für Betriebe, die solche Tools produktiv nutzen, heißt das konkret: KI-Agenten mit Systemzugriff gehören in dieselbe Kategorie wie jede andere Software mit weitreichenden Rechten, nicht in die Kategorie "harmloser Chatbot".

Was du jetzt tun (oder lassen) solltest

Tun:

1. Prüf, welche KI-Agenten in deinem Betrieb überhaupt laufen und welchen Zugriff sie haben, lokal auf Rechnern, auf dem Server oder in der Cloud.
2. Halte diese Tools aktuell. Bei Claude Cowork betrifft die Lücke die ältere lokale VM-Ausführung, die aktuelle Version mit Cloud-Ausführung ist laut Hersteller-Aussage nicht auf demselben Weg angreifbar.
3. Trenn KI-Agenten von sensiblen Zugängen, wo es geht. SSH-Schlüssel und Cloud-Zugangsdaten, die ein Agent nicht zwingend braucht, gehören nicht auf dieselbe Maschine oder in dasselbe Nutzerkonto.
4. Rotier Zugangsdaten, wenn du unsicher bist, ob ein Agent mit weitreichenden Rechten auf einem Rechner lief, der Zugriff auf wichtige Schlüssel hatte.

Lassen:

• Verzichte nicht pauschal auf KI-Agenten aus Angst vor dieser einen Meldung. Das Risiko ist real, aber vergleichbar mit dem jeder anderen Software, die weit in dein System hineingreift, kein Grund für Panik.
• Verwechsle "kein eigener Patch vom Hersteller" nicht mit "unwichtig". Auch wenn ein Anbieter das Risiko anders einschätzt als Sicherheitsforscher, lohnt sich die eigene Vorsicht.

Wer KI-Agenten mit echtem System- oder Datenzugriff einsetzen will, sollte das von Anfang an mit einer klaren Freigabe-Ebene aufbauen statt nachträglich zu patchen. Wie eine solche Struktur mit menschlicher Kontrolle über automatisierte KI-Abläufe aussehen kann, zeigt der ESD AI-Stack an einem laufenden Beispiel - und welche Aufgaben man welchem Modell mit welchen Rechten anvertraut, steht in Welches KI-Modell wofür.

Die Einschätzung kommt nicht vom Schreibtisch, sondern von jemandem, der KI selbst tief in einen laufenden Betrieb eingebaut hat. Wie das aussah, steht anonymisiert in der Case Study und der Geschichte dahinter. Dieser Artikel ist eine Orientierung, keine Sicherheitsberatung.