Bishop Fox의 조사에서는 Claude가 샌드박스 내부 정보와 process_api 프로세스 메모리를 반환했고, 파일 다운로드 API가 절대 경로로 내부 바이너리를 제공했다. 조사자는 메모리 조각에서 Google 서비스 계정 ID 토큰을 복원하고 가상 네트워크 인터페이스를 이용해 내부 서비스의 로컬 연결 제한을 우회했지만, Anthropic은 샌드박스 관련 관찰 결과가 자사 위협 모델의 보안 문제 기준에 해당하지 않는다고 밝혔다.

조사는 Claude에 샌드박스 환경을 묻는 데서 시작됐다. Claude는 gVisor 런타임, 마운트된 파일시스템, 내부 IP 주소와 호스트 통신 방식 등을 설명했고, PID 1로 실행 중인 /process_api의 경로와 역할도 제시했다. 조사자는 이 정보를 바탕으로 추가 질문과 테스트를 진행했다.

파일 다운로드 API는 사용자 파일이 있는 경로로 요청을 제한하지 않았다. 조사자는 절대 경로 /process_api를 지정해 Anthropic 내부 샌드박스 바이너리를 내려받았고, 이를 역공학해 컨테이너와 오케스트레이터 간 통신을 살펴봤다. Claude가 샌드박스의 process_api 프로세스 메모리도 반환하자, 메모리 덤프에 남은 JSON 웹 토큰 조각에서 서명 일부를 복원했다. Google 공개 OAuth 키를 이용해 복원한 Google Cloud Platform 서비스 계정 ID 토큰은 Google의 토큰 정보 API에서도 유효한 것으로 확인됐다.

조사자는 컨테이너에 CAP_NET_ADMIN과 CAP_NET_RAW 권한이 있는 점을 이용해 가상 네트워크 인터페이스를 설정했다. 그 결과 process_api가 거부하던 로컬 출처 연결 제한을 우회해 WebSocket 서비스에 접속했고, /mount_root 엔드포인트에서 101 Switching Protocols 응답을 받았다. 그러나 파일시스템 마운트 시도는 실패했으며, 조사 과정에서 얻은 토큰을 활용할 다른 경로도 찾지 못했다고 밝혔다.

별도로 확인한 Claude Enterprise 계정 제어 문제 두 건 가운데, 하나는 클라이언트에서 수정할 수 없게 표시된 사용자 전체 이름을 계정 API를 직접 호출해 바꿀 수 있었다. Anthropic은 감사 시스템이 해당 필드가 아닌 지속적인 사용자 식별자를 사용한다며 이를 정보성 문제로 분류했다. 다른 건은 알려진 문제와 중복으로 처리됐으며, 조사자는 해당 문제가 여전히 존재할 가능성이 있다며 상세 내용을 공개하지 않았다.

조사자는 관찰 결과 여섯 건을 Anthropic의 버그 바운티 절차로 제출했다. Anthropic은 샌드박스 관련 결과가 보안 경계를 위반하지 않으며 위협 모델 기준을 충족하지 않는다고 답했고, Enterprise 제어 관련 건은 정보성 또는 중복으로 분류했다. 따라서 이 글은 취약점 공개라기보다 Claude 실행 샌드박스에서 관찰한 동작을 살펴보는 내용이라고 조사자는 설명했다.

조사자는 방어 심층화를 위한 개선 방향으로 샌드박스 모델이 인프라 프로세스 메모리를 읽거나 그 내용을 사용자에게 반환하지 못하게 하고, 다운로드 API를 허용된 사용자 데이터 경로로 제한하는 방안을 제시했다. 또한 필요하지 않은 샌드박스의 네트워크 권한을 제거하고, 로컬 연결 제한에서 로컬에 할당된 모든 인터페이스 주소를 고려하며, 계정 프로필 권한을 클라이언트가 아닌 서버에서 검사하라고 권고했다.

참고 자료: Bishop Fox 취약점 공개 정책, OWASP LLM06:2025 Excessive Agency, OWASP Top Ten 2021 Broken Access Control, CWE-36 Absolute Path Traversal, CWE-200 Exposure of Sensitive Information to an Unauthorized Actor, CWE-284 Improper Access Control, CWE-285 Improper Authorization.