Пропуск в сигурността на Claude Dispatch на Anthropic е позволил на злонамерено разширение за браузър да изпълнява команди на компютър чрез приложението Claude Desktop. Този компютър дори може да бъде различна машина, в която е извършено влизане със същия профил в Claude.

Изследователят Гал Вайцман от Forever Security нарича техниката ThisBash и публикува откритията си на 4 ноември 2026 г. Anthropic планира да спре Dispatch, но архитектурата зад него все още се използва в други функции на Claude.

Dispatch позволява на потребителя да изпрати задача от телефон към Claude Desktop – AI агент, който може да работи с локални файлове, приложения и команди. Страницата за помощ на Anthropic посочва, че функцията е в ограничена бета версия и е затворена за нови потребители. Същата страница предупреждава, че манипулирана инструкция може да задейства действия, които са трудни за отмяна.

Изследователите не са открили уязвимост в самата връзка между телефона и компютъра. Проблемът се появява, когато същият работен процес бива достъпен от claude.ai в уеб браузър, където разширение може да работи паралелно със страницата.

Уязвимост в Claude Dispatch

Claude Desktop е приложение, базирано на Electron. Това означава, че е изградено със същия уеб интерфейс и API като claude.ai. Уеб версията само е скривала връзката към Dispatch, но никога не е блокирала достъпа до нея. След като някой копира адреса на страницата от настолното приложение, всеки раздел на браузъра с активна сесия може да отвори Dispatch и да изпраща заявки.

Разширение с разрешения да изпълнява скриптове в claude.ai може да направи същото чрез собствените бисквитки на потребителя. В доказателството за концепция (PoC) скриптът отваря Dispatch в малък фонов прозорец с размери 200 на 200 пиксела. След това изисква от API идентификатора на сесията на настолния агент на потребителя. Това е единствената видима следа на екрана.

Първоначално Claude се поколебава, когато е помолен да инсталира непознат npm пакет. Скриптът прочита всеки отговор и изпраща последващо съобщение от името на потребителя. Forever Security нарича това „принуждаване чрез подкани“ (prompt forcing). При стандартното инжектиране на подкани (prompt injection) враждебният текст се крие в страница или файл, които моделът чете, и атакуващият има само един опит. При принуждаването чрез подкани атакуващият контролира целия чат и може да перифразира, да настоява и да пробва нови подходи, докато моделът отстъпи.

Четири писмени подкани се оказват достатъчни. Кратък цикъл също така натиска всеки бутон „Allow“ (Разреши) веднъж в секунда, така че да не се налага човек да одобрява нищо. След това пакетът се стартира и отваря приложението Calculator. Екипът отбелязва, че по същия начин е можело да бъдат копирани файлове, добавени SSH ключове или инсталирана задна вратичка (backdoor).

Dispatch е създаден да свързва устройства, така че браузърът и настолното приложение не е необходимо да бъдат на един и същ компютър. Представете си служител, който влиза в личния си профил в Claude на служебен лаптоп. Злонамерено разширение в домашния му браузър би могло да изпраща команди към този служебен лаптоп. Така то би работило в непосредствена близост до изходен код и ключове за облачни услуги. Изследователите споделят, че са виждали лични профили с активиран междуустройствен Dispatch на корпоративни крайни устройства.

Разширенията са достатъчно разпространени, за да превърнат това в реален вектор на атака. LayerX установява, че 99% от корпоративните потребители в тяхната извадка имат поне едно разширение, а 53% имат разширения с високи или критични нива на достъп. По-ранните изследвания на Forever Security за MaXSS и Spyder показаха как пропуски в две популярни разширения за Chrome с общо над 10 милиона инсталации могат да позволят на уебсайтове да извършват действия в други сайтове. Едно опасно разширение може да дойде от нежелана инсталация, компрометирано обновяване или софтуерен дефект в доверен инструмент.

Едно злонамерено разширение вече може да чете страници, да краде данни и да действа чрез активни сесии на влезли потребители. Това е сериозно, но обикновено остава в рамките на браузъра. ThisBash преминава тази граница. Разрешението за комуникация с уебсайт се превръща в разрешение за изпълнение на команди на компютъра.

Заявките освен това изглеждат напълно легитимни. Те идват от реална сесия и реален профил с разрешения, които потребителят е предоставил. Това доказва кой е влязъл в системата, но не доказва, че потребителят е искал командата да бъде изпълнена. Изследователите го формулират така: сама по себе си уеб сесията не е доказателство, че потребителят е одобрил действие на своята машина.

Изследователите демонстрираха как разширения манипулират AI инструменти няколко пъти през тази година. Cyber Security News отрази BragJack, където едно-единствено разширение превзе вградените асистенти на пет основни браузъра. Този случай показва, че проблемът надхвърля рамките на един доставчик. Всеки AI инструмент, който се доверява на страницата, в която се намира, може да бъде манипулиран от код, изпълняван в същата тази страница.

Вайцман е докладвал проблема на Anthropic на 14 май 2026 г. Anthropic потвърждава неговата валидност на 19 май, но затваря доклада като дубликат на вече открит от тях проблем. На 13 октомври компанията обявява, че Dispatch ще бъде спрян, като целта е края на октомври 2026 г. Тази дата вече отмина и от публични източници не може да се потвърди дали функцията е напълно премахната.

По-голямото притеснение е, че по дизайн сесиите в Claude Code Remote Control и Cowork позволяват на уеб интерфейса да управлява локален агент. Изследователите твърдят, че разширенията могат да повторят същия трик и там, като планират последваща публикация. Премахването на една функция не премахва фундаменталния проблем с доверието под нея.

Започнете със списък на AI агентите на вашите крайни устройства и профилите, които те използват. Проверете дали тези профили са част от корпоративната система за единно влизане (SSO). Изключете дистанционното управление между устройства, където няма бизнес необходимост, и прегледайте начина, по който устройствата се сдвояват и премахват.

Третирайте разширенията като всеки друг софтуер. Ограничете кой може да ги инсталира, преглеждайте техните разрешения и следете за обновявания, които изискват допълнителни права. Изскачащите прозорци за одобрение трябва да бъдат такива, че заявяващият компонент да не може да ги натисне сам. Екипите също така трябва да следят за необичайни инсталации на пакети, промени в конфигурациите и достъп до идентификационни данни, свързани с активността на агента.

Anthropic наскоро добави бета опция за EDR мониторинг за Claude Cowork в плановете Team и Enterprise, което може да помогне с тази последна стъпка. Най-простият навик е и най-ефективен: дръжте личните AI профили далеч от служебните устройства и не използвайте служебни профили в лични браузъри. ThisBash показва защо тази граница е от значение.