Уязвимость Claude Dispatch позволяла расширению браузера запускать команды на компьютере

Исследователь безопасности Гал Вайцман из Forever Security раскрыл уязвимость ThisBash в Claude Dispatch. Расширение браузера с доступом к claude.ai могло отправлять инструкции в Claude Desktop и в итоге запускать код на подключенном компьютере. Поскольку Dispatch связывает устройства, целью мог быть другой компьютер, авторизованный в том же аккаунте Claude.

В proof of concept использовалась активная сессия жертвы в браузере. Скрипт находил desktop-агента, открывал Dispatch в небольшом фоновом окне и отправлял запросы. Когда Claude сомневался, скрипт продолжал диалог от имени пользователя и автоматически нажимал кнопки подтверждения. Финальная команда устанавливала npm-пакет, чей setup-скрипт открывал калькулятор, демонстрируя выполнение кода в операционной системе.

Это не универсальная атака на любого пользователя Claude. Злоумышленнику сначала требовалось вредоносное или скомпрометированное расширение, способное работать с claude.ai, а также подключенная desktop-сессия. Forever Security не сообщала об эксплуатации в реальных атаках. Риск в том, что расширение, обычно ограниченное браузером, получало путь к более привилегированному локальному агенту и иногда могло дотянуться от личного браузера до рабочего компьютера.

По словам Вайцмана, он сообщил об уязвимости в мае. Anthropic признала отчет валидным, но закрыла его как дубликат уже известной проблемы. Компания планировала отключить Dispatch, однако на момент публикации существующие участники beta все еще могли пользоваться функцией. Anthropic не ответила на вопросы The Register.

Forever Security считает, что тот же архитектурный риск может затрагивать Claude Code Remote Control и сессии Cowork: авторизованная веб-сессия подтверждает личность пользователя, но не его согласие на выполнение команд на локальном компьютере.