Исследователи компании по защите конечных устройств Forever Security показали, как расширение браузера, способное выполнять сценарии на , может задействовать Claude Dispatch и поручить Claude Desktop запустить код на компьютере пользователя. Claude разработала Anthropic. Сообщений о реальных атаках нет: исследователи провели демонстрационный тест и сообщили, что уязвимость всё ещё можно было использовать, когда они рассказали о ней ранее на той неделе.
Claude Desktop — ИИ-агент, который умеет выполнять команды на установленном компьютере. Dispatch позволяет отправлять ему задания с телефона. В техническом описании исследователь Forever Security Гал Вайцман указал два необходимых условия: расширение должно запускать сценарии на , а пользователь — войти в аккаунт и на сайте, и в Claude Desktop, включив Dispatch. Компьютер при этом должен быть включён, а настольное приложение — открыто.
Расширение может быть изначально вредоносным, получить скомпрометированное обновление или содержать уязвимость. Для атаки не понадобился эксплойт браузера. Вайцман и его коллеги обнаружили, что Dispatch принимал обычную активную сессию , хотя на сайте не было видимой ссылки на эту функцию.
Сценарий на странице открыл Dispatch и отправил Claude четыре запроса так, будто их ввёл сам пользователь. В запросах предлагалось установить пакет npm. Claude показывал запросы на подтверждение, но они появлялись на веб-странице, которой управляло расширение. Сценарий нажимал кнопку «Разрешить» раз в секунду, поэтому человеку не требовалось следить за экраном.
В ходе теста Claude выполнил глобальную установку npm-пакета, а его скрипт установки открыл приложение «Калькулятор». Исследователи предупредили: с учётом полномочий Claude на компьютере тот же путь потенциально мог бы привести к краже файлов или установке бэкдора.
Демонстрация проходила на одном компьютере, где были открыты браузер и Claude Desktop. Исследователи считают, что расширение могло бы обратиться и к Claude Desktop на другом устройстве, если оно подключено к тому же аккаунту через Dispatch, но этот вариант они не проверяли. Например, личный компьютер мог бы оказаться связан с рабочим ноутбуком, если на обоих используется один личный аккаунт Claude и включён Dispatch. В Forever Security сообщили, что встречали у клиентов рабочие компьютеры с личными аккаунтами Claude и включённой связью между устройствами.
Об уязвимости сообщили Anthropic 14 мая. Компания признала обращение обоснованным 19 мая, но закрыла его как дубликат проблемы, которую уже обнаружила внутри компании. 13 октября исследователям сообщили, что Dispatch планируют вывести из эксплуатации к концу октября. Однако справочная страница Dispatch, обновлённая в конце предыдущей недели, об этом не говорила: в ней указывалось, что новых пользователей не принимают, а действующие пользователи некоторых тарифов Pro, Max и Ultra «пока могут продолжать пользоваться функцией».
Dispatch входит в Cowork в Claude Desktop и находится на левой панели. Справочная страница советует перед включением функции знать, как быстро отключить её или отозвать доступ, но, по словам исследователей, не объясняет, как это сделать. Если Dispatch не нужен для работы с разными устройствами, его стоит отключить. Если нужен, следует проверить порядок сопряжения, подтверждения и удаления устройств.
Расширения браузера стоит контролировать так же, как любое другое программное обеспечение на компьютере: проверять их разрешения, ограничивать установку и следить за обновлениями, которые добавляют новые права. Исследователи также советуют наблюдать за действиями ИИ-агентов: неожиданной установкой пакетов, изменениями настроек, доступом к учётным данным и внешними сетевыми подключениями.
«Anthropic выводит Dispatch из эксплуатации, но не саму конструкцию», — написали исследователи. По их оценке, похожим способом расширения могут использовать Claude Code Remote Control и сеансы Claude Cowork.
Изображение носит иллюстративный характер
Claude Desktop — ИИ-агент, который умеет выполнять команды на установленном компьютере. Dispatch позволяет отправлять ему задания с телефона. В техническом описании исследователь Forever Security Гал Вайцман указал два необходимых условия: расширение должно запускать сценарии на , а пользователь — войти в аккаунт и на сайте, и в Claude Desktop, включив Dispatch. Компьютер при этом должен быть включён, а настольное приложение — открыто.
Расширение может быть изначально вредоносным, получить скомпрометированное обновление или содержать уязвимость. Для атаки не понадобился эксплойт браузера. Вайцман и его коллеги обнаружили, что Dispatch принимал обычную активную сессию , хотя на сайте не было видимой ссылки на эту функцию.
Сценарий на странице открыл Dispatch и отправил Claude четыре запроса так, будто их ввёл сам пользователь. В запросах предлагалось установить пакет npm. Claude показывал запросы на подтверждение, но они появлялись на веб-странице, которой управляло расширение. Сценарий нажимал кнопку «Разрешить» раз в секунду, поэтому человеку не требовалось следить за экраном.
В ходе теста Claude выполнил глобальную установку npm-пакета, а его скрипт установки открыл приложение «Калькулятор». Исследователи предупредили: с учётом полномочий Claude на компьютере тот же путь потенциально мог бы привести к краже файлов или установке бэкдора.
Демонстрация проходила на одном компьютере, где были открыты браузер и Claude Desktop. Исследователи считают, что расширение могло бы обратиться и к Claude Desktop на другом устройстве, если оно подключено к тому же аккаунту через Dispatch, но этот вариант они не проверяли. Например, личный компьютер мог бы оказаться связан с рабочим ноутбуком, если на обоих используется один личный аккаунт Claude и включён Dispatch. В Forever Security сообщили, что встречали у клиентов рабочие компьютеры с личными аккаунтами Claude и включённой связью между устройствами.
Об уязвимости сообщили Anthropic 14 мая. Компания признала обращение обоснованным 19 мая, но закрыла его как дубликат проблемы, которую уже обнаружила внутри компании. 13 октября исследователям сообщили, что Dispatch планируют вывести из эксплуатации к концу октября. Однако справочная страница Dispatch, обновлённая в конце предыдущей недели, об этом не говорила: в ней указывалось, что новых пользователей не принимают, а действующие пользователи некоторых тарифов Pro, Max и Ultra «пока могут продолжать пользоваться функцией».
Dispatch входит в Cowork в Claude Desktop и находится на левой панели. Справочная страница советует перед включением функции знать, как быстро отключить её или отозвать доступ, но, по словам исследователей, не объясняет, как это сделать. Если Dispatch не нужен для работы с разными устройствами, его стоит отключить. Если нужен, следует проверить порядок сопряжения, подтверждения и удаления устройств.
Расширения браузера стоит контролировать так же, как любое другое программное обеспечение на компьютере: проверять их разрешения, ограничивать установку и следить за обновлениями, которые добавляют новые права. Исследователи также советуют наблюдать за действиями ИИ-агентов: неожиданной установкой пакетов, изменениями настроек, доступом к учётным данным и внешними сетевыми подключениями.
«Anthropic выводит Dispatch из эксплуатации, но не саму конструкцию», — написали исследователи. По их оценке, похожим способом расширения могут использовать Claude Code Remote Control и сеансы Claude Cowork.
