Исследователь обнаружил путь к удалённому запуску команд через Claude Dispatch

Claude Dispatch позволяет отправлять задачи с телефона или из браузера агенту Claude Desktop, который может выполнять команды на компьютере. Исследователь безопасности Гал Вайцман обнаружил, что интерфейс и API Dispatch доступны из обычной авторизованной сессии claude.ai. По его описанию, расширение браузера с доступом к этому сайту способно отправить Desktop команду от имени пользователя. Та же учётная запись может быть открыта и на другом компьютере, где работает Desktop.

Для атаки нужны конкретные условия: в браузере должно находиться расширение, способное управлять страницей claude.ai, пользователь должен быть авторизован на сайте и в Claude Desktop, а Dispatch – включён. Тогда команда, пришедшая через веб-сессию, может привести к запуску кода на компьютере с Desktop без эксплуатации уязвимости самого браузера. Исследователь указывает, что атакующий может распространить вредоносное расширение или получить контроль над уже установленным.

Вайцман сообщил Anthropic о проблеме в мае и назвал её ThisBash. Компания признала отчёт об уязвимости действительным, но закрыла обращение как повтор уже известной ей проблемы. По словам исследователя, Anthropic говорила о планах вывести Dispatch из эксплуатации к концу октября. На 30 октября справка Claude всё ещё указывала, что функция доступна некоторым действующим пользователям тарифов Pro, Max и Ultra в ограниченной бете, хотя новых пользователей к ней не подключают.

Исследователь считает, что похожий путь передачи команд остаётся актуальным и для Claude Code Remote Control, а также сессий Claude Cowork. В качестве примера он описывает запросы агенту прочитать файл или выполнить код через доступную из браузера сессию Cowork. Это его оценка распространения проблемы на другие функции; из опубликованных сведений не следует, что все пользователи Claude подвергаются одной и той же атаке. Существенное условие здесь – права расширения на сайт и связанная с компьютером сессия агента.