Расширения браузера могут запускать код на компьютере через Claude Dispatch

Расширение браузера с правом выполнять скрипты на claude.ai может через Dispatch заставить Claude Desktop запустить код на компьютере пользователя. Это показали исследователи Forever Security, сообщает The Hacker News.

Dispatch предназначен для отправки заданий с телефона в Claude Desktop — ИИ-агент, который может выполнять команды на компьютере, где он установлен. Однако исследователи обнаружили, что функция принимает запросы и через сайт claude.ai, если пользователь вошёл в свой аккаунт. Это позволяет расширению отправлять инструкции от имени пользователя.

Для атаки пользователь должен войти на сайт и в Claude Desktop и включить Dispatch. Компьютер должен работать, а приложение — оставаться открытым. Угрозу может представлять как вредоносное расширение, так и обычное, если оно получило скомпрометированное обновление или содержит уязвимость.

В тесте расширение от имени пользователя поручило Claude установить npm-пакет и автоматически нажимало на странице кнопки «Разрешить». Скрипт пакета запустил «Калькулятор». По оценке исследователей, с правами Claude на компьютере так можно было бы украсть файлы или установить бэкдор.

Испытание провели на одном устройстве. По словам исследователей, через Dispatch расширение могло бы добраться и до другого компьютера с тем же аккаунтом, но этот вариант они лишь описали, а на практике не продемонстрировали. Так домашний компьютер может оказаться связан с рабочим ноутбуком, если на обоих используется один личный аккаунт Claude с включённым Dispatch; такие аккаунты исследователи встречали на рабочих компьютерах своих клиентов. О реальных атаках исследователи не сообщают.

Исследователи также утверждают, что приём работает через удалённое управление Claude Code и сеансы Claude Cowork, но результатов испытаний этих функций не приводят.

По словам исследователей, Anthropic признала проблему 19 мая, но закрыла заявку как дубликат уязвимости, которую уже обнаружила самостоятельно. 13 октября разработчик сообщил им о плане отключить Dispatch к концу октября. В справке по функции отключение не упоминается, но указано, что Dispatch закрыт для новых пользователей, а существующие пользователи на некоторых тарифах Pro, Max и Ultra пока могут продолжать им пользоваться. По данным исследователей на начало ноября, уязвимость всё ещё можно использовать.

Исследователи рекомендуют:

• Отключить Dispatch, если он не нужен. Если функция необходима — проверить порядок подключения, подтверждения и удаления устройств.
• Проверять разрешения браузерных расширений и следить за обновлениями, которые дают им больше доступа.
• Следить за действиями ИИ-агентов на компьютере, в том числе за неожиданной установкой пакетов и изменениями настроек.