A Anthropic lançou uma integração em fase beta que permite às empresas correr os seus próprios sensores de deteção e resposta em endpoints (EDR) dentro da máquina virtual local onde o Claude Cowork executa comandos e código. Até agora, essa atividade não era visível para as ferramentas de segurança já instaladas nos computadores. A novidade dá mais visibilidade às equipas de segurança, mas tem limites claros: não abrange as sessões executadas na nuvem e implica que prompts, ficheiros e respostas passem a ser enviados ao fornecedor de EDR.
Resposta rápida: As organizações com planos Team ou Enterprise do Claude já podem instalar sensores EDR aprovados dentro da VM local do Cowork, em macOS e Windows. A funcionalidade está em beta, não cobre as sessões que correm nos servidores da Anthropic e não corrige as falhas de fuga da sandbox divulgadas este ano. Antes de a ativar, avalie o impacto na proteção de dados, porque o sensor pode ver prompts, ficheiros e respostas, e teste a integração antes e depois de cada atualização.
O ponto cego que motivou a mudança
O Claude Cowork é o modo “agêntico” do Claude Desktop: em vez de se limitar a responder, executa tarefas, corre comandos de shell e manipula ficheiros em nome do utilizador. Para conter esse trabalho, a Anthropic isola a execução numa máquina virtual. Segundo uma publicação técnica da própria empresa, a primeira versão do Cowork corria dentro de uma máquina virtual completa, usando o hipervisor nativo de cada plataforma (Virtualization framework da Apple em macOS, HCS em Windows).
O isolamento tinha um efeito secundário. Ao avaliarem o produto, as equipas de segurança das empresas perguntavam, nas palavras da Anthropic, “Why can’t our EDR see inside?” (porque é que a nossa EDR não vê o que se passa lá dentro?). A explicação dada é que o mesmo isolamento que mantinha o Claude contido também deixava de fora a deteção e resposta baseada no anfitrião; do ponto de vista da EDR, o Cowork é um processo de hipervisor opaco.
Até aqui, a solução provisória era limitada. A empresa reconhecia que a mitigação em vigor consistia em exportações OTLP por pedido, que permitem aos administradores obter os registos de eventos depois de acontecerem, mas que isso não equivale a monitorização em tempo real.
Como funciona a integração
De acordo com a página de suporte da Anthropic, a funcionalidade está disponível em beta para os planos Team e Enterprise. Abrange o Claude Desktop em macOS e Windows e também o Claude Desktop ligado ao Amazon Bedrock, ao Google Cloud Vertex AI ou ao Microsoft Foundry.
O mecanismo assenta na verificação de assinaturas. Sempre que a VM do Cowork arranca, o Claude Desktop copia o pacote do sensor do fornecedor para a VM e compara a assinatura com a chave aprovada do fornecedor indicado. Se a assinatura for válida, o Claude corre o script de instalação do fornecedor dentro da VM, no máximo uma vez por arranque; se a definição não estiver configurada, nada é instalado. Depois de instalado, o sensor liga-se à nuvem do fornecedor e envia a atividade para a consola que a equipa de segurança já usa.
A página de suporte identifica a CrowdStrike, a SentinelOne e a Tanium entre os fornecedores aprovados. Várias publicações especializadas referem uma lista de sete: CrowdStrike, Evoke Security, Neo, Palo Alto Networks, Pluto Security, SentinelOne e Tanium, podendo os fornecedores que não constam da lista candidatar-se. Imprensa do setor indica ainda que é necessária a versão 4.4212.0 ou posterior do Claude Desktop.
Um dos fornecedores já reagiu publicamente. Num comunicado divulgado a 2 de novembro, a SentinelOne anunciou que vai colocar a sua proteção em tempo de execução diretamente dentro dessa VM. Promete ainda que o mesmo motor de deteção comportamental usado nos endpoints será aplicado à atividade na VM, alertando os analistas para comportamentos anómalos e para desvios do agente.
Os limites: nuvem fora do alcance e dados sensíveis no sensor
A principal limitação é assumida pela própria Anthropic: a integração cobre apenas a VM no computador do utilizador, já que as sessões do Cowork na nuvem correm nos servidores da Anthropic e aí não é possível instalar um sensor. Este pormenor pesa mais desde que a execução na nuvem passou a ser a predefinição em versões recentes do Cowork.
A segunda questão é a privacidade. A documentação avisa que o software EDR consegue ver a atividade e o conteúdo dentro da máquina virtual, o que pode incluir prompts, ficheiros e as respostas do Claude. A Anthropic sublinha que não recebe nem controla esses dados, e que o fornecedor não os trata em nome da Anthropic. Em termos contratuais, o sensor é considerado uma funcionalidade de terceiros e não faz parte dos serviços da Anthropic. Uma análise publicada sobre a funcionalidade nota ainda que esse tráfego pode sair fora da lista de destinos de rede autorizados do Cowork, o que obriga a rever os fluxos de saída.
A responsabilidade operacional também fica do lado do cliente. A empresa exige testes antes da implementação e novamente após qualquer atualização do Claude ou do software EDR, e declina responsabilidade por reclamações resultantes da falta de testes. Quanto a custos, a Anthropic não cobra nada a mais pela integração durante a beta, mas o fornecedor de EDR pode cobrar pelo sensor.
Monitorizar não é corrigir: as fugas da sandbox de 2026
A nova funcionalidade surge meses depois de duas investigações que puseram em causa o isolamento local do Cowork. A EDR na VM melhora a deteção, mas não elimina nenhum desses vetores.
| Data | Acontecimento |
|---|---|
| Março de 2026 | Investigadores reportam à Anthropic uma cadeia de fuga no Cowork para Windows, divulgada publicamente só em julho |
| Meados de junho de 2026 | Correção no kernel Linux da falha de escalada de privilégios CVE-2026-46331 |
| 23 de julho de 2026 | A Accomplish AI divulga o ataque “SharedRoot” contra o Cowork local em macOS |
| 2 de novembro de 2026 | A SentinelOne anuncia a integração com a VM do Cowork |
| 3 de novembro de 2026 | Notícias sobre a beta de sensores EDR na VM local do Cowork |
No caso SharedRoot, os investigadores da Accomplish AI exploraram a vulnerabilidade CVE-2026-46331 do Linux para fazer o agente sair de uma máquina virtual Linux num Mac, ganhando acesso ao sistema anfitrião e podendo extrair dados como chaves SSH e credenciais de nuvem. Segundo os investigadores, não houve indícios de que alguém tenha usado o SharedRoot contra utilizadores fora do teste controlado. Segundo uma nota de investigação da Cloud Security Alliance, a Anthropic classificou a divulgação como “Informative” e não emitiu correção para a execução local, embora a predefinição atual encaminhe a execução para a nuvem.
No Windows, a empresa Armadin descreveu uma cadeia que, manipulando um indicador de retoma passado através do CoworkVMService, permitia executar comandos arbitrários como root, e outra técnica que eliminava as restrições de rede. A Anthropic não considera isto um problema de segurança porque exige execução prévia de código local no anfitrião; a Armadin validou a cadeia no Claude Desktop para Windows versão 1.9255.2.0.
O que as equipas de segurança devem fazer
- Fazer o inventário dos postos que usam o Cowork em modo local, da versão do Claude Desktop e da EDR instalada.
- Confirmar com o fornecedor de EDR se está aprovado e qual o custo do sensor adicional.
- Testar num grupo-piloto antes de generalizar e voltar a testar após cada atualização do Claude ou do sensor.
- Restringir quem pode consultar, na consola EDR, a telemetria do Cowork, que pode conter prompts e documentos internos.
- Para as sessões na nuvem, recorrer a outros mecanismos: a Anthropic indica que os proprietários Team e Enterprise podem enviar eventos do Cowork para SIEM e ferramentas de observabilidade via OpenTelemetry, com visibilidade sobre chamadas a ferramentas, acesso a ficheiros e decisões de aprovação humana.
- Quem mantiver a execução local deve seguir as recomendações dos investigadores, como montar apenas as pastas aprovadas pelos utilizadores e, sempre que possível, em modo só de leitura.
Porque é que isto importa em Portugal
Os agentes de IA que executam ações nos postos de trabalho são uma nova superfície de ataque, e a capacidade de os monitorizar com as mesmas ferramentas que vigiam o resto do parque informático tem relevância regulatória. As entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2) têm de garantir medidas de gestão de risco e de deteção de incidentes proporcionais. Ferramentas que escapam à monitorização são difíceis de justificar perante o CNCS. Uma eventual fuga da sandbox com acesso a credenciais pode configurar um incidente com obrigação de notificação.
Há também uma dimensão de proteção de dados. Se o sensor captar prompts e ficheiros com dados pessoais de clientes ou trabalhadores, aplica-se o RGPD: é preciso rever o contrato com o fornecedor de EDR enquanto subcontratante, verificar onde ficam alojados os dados e se há transferências para fora do Espaço Económico Europeu e, em muitos casos, atualizar a avaliação de impacto. A monitorização de trabalhadores deve ainda respeitar o Código do Trabalho e a transparência devida aos colaboradores. Para as PME que estão a experimentar agentes de IA, a lição principal é simples: saber onde o agente corre (local ou nuvem) determina que controlos se podem aplicar.
Perguntas frequentes
Quem pode usar sensores EDR no Claude Cowork?
A funcionalidade está em beta para organizações com planos Team ou Enterprise, no Claude Desktop para macOS e Windows, incluindo implementações ligadas ao Amazon Bedrock, Google Cloud Vertex AI ou Microsoft Foundry.
A integração cobre as sessões do Cowork na nuvem?
Não. Cobre apenas a máquina virtual local no computador do utilizador. As sessões que correm nos servidores da Anthropic não aceitam sensores e têm de ser acompanhadas por outros meios, como a exportação de eventos via OpenTelemetry.
Que dados vê o sensor e para onde vão?
O sensor pode ver a atividade e o conteúdo da VM, incluindo prompts, ficheiros e respostas do Claude. Esses dados seguem para o fornecedor de EDR e, segundo a Anthropic, não são recebidos nem controlados pela empresa.
Esta funcionalidade corrige as falhas de fuga da sandbox do Cowork?
Não. A integração acrescenta visibilidade, mas não elimina vetores como o SharedRoot ou a cadeia descrita no Windows. Quem usa a execução local deve continuar a aplicar medidas de proteção, como limitar e tornar só de leitura as pastas partilhadas.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Anthropic (documentação de suporte sobre EDR no Cowork), Anthropic (Cowork nos planos Team e Enterprise), Anthropic Engineering, SentinelOne e Cloud Security Alliance.