Расширение для claude[.]ai может передать команды в Claude Desktop через Dispatch

Исследователи Forever Security показали сценарий, в котором браузерное расширение, способное выполнять скрипты на claude[.]ai, отправляет команды в Claude Desktop от имени пользователя и добивается выполнения кода на компьютере. Для демонстрации не требовалась уязвимость браузера; о реальных атаках исследователи не сообщали.

Условия атаки

Сценарий требует двух условий: расширения с возможностью запускать скрипты на сайте claude[.]ai и пользователя, одновременно авторизованного на claude[.]ai и в Claude Desktop, где включён Dispatch.

Dispatch — функция Claude для передачи задач с телефона в Claude Desktop. По данным Forever Security, она принимала данные обычной авторизованной веб-сессии claude[.]ai, хотя на самом сайте ссылки на эту функцию не было. Поэтому расширение, работающее в контексте claude[.]ai, могло передавать инструкции в настольное приложение так, как если бы их отправил владелец учётной записи.

Расширение не обязательно должно быть изначально вредоносным. Исследователи рассматривают и другой вариант: легитимное расширение получает скомпрометированное обновление либо содержит собственную ошибку безопасности.

Dispatch срабатывает, только когда компьютер активен, а Claude Desktop открыт.

Что показал тест

В лабораторной демонстрации скрипт на странице claude[.]ai инициировал Dispatch и передал Claude четыре запроса от лица пользователя. ИИ-агенту предложили установить npm-пакет.

Сначала Claude усомнился из-за неизвестного пакета. Однако следующее сообщение, переданное от имени пользователя, убедило его продолжить. Перед выполнением действий Claude запрашивал подтверждение, но эти диалоги появлялись на веб-странице, которой управляло расширение. Скрипт раз в секунду нажимал все доступные кнопки «Разрешить», поэтому постоянное участие пользователя не требовалось.

После этого Claude запустил глобальную установку npm. Скрипт установки пакета открыл приложение «Калькулятор», что подтвердило возможность выполнения кода. По оценке исследователей, механизм с теми же правами, которые есть у Claude на конкретном компьютере, потенциально мог бы использоваться для кражи файлов или установки бэкдора. Это прогнозный сценарий, а не описание подтверждённого инцидента.

При выборе SIEM-платформы можно отдельно изучить Security Capsule SIEM и сопоставить её с требованиями своей инфраструктуры.

Тест проводился на одном компьютере, где одновременно работали браузер и Claude Desktop. При этом Dispatch связывает устройства в пределах одной учётной записи Claude. Поэтому расширение теоретически может обратиться к Claude Desktop на другом компьютере, если он авторизован в той же учётной записи. Этот вариант исследователи описали, но не демонстрировали.

Механизм способен связать, например, домашний ПК и рабочий ноутбук, если на обоих устройствах используется одна личная учётная запись Claude и включён Dispatch. Forever Security сообщила, что обнаружила у своих клиентов личные аккаунты Claude с включённой межустройственной функцией Dispatch на рабочих компьютерах.

Статус Dispatch и похожие функции

О проблеме Anthropic сообщили 14 мая. По словам исследователей, 19 мая компания признала отчёт обоснованным, но закрыла его как дубликат уже известной внутренней проблемы.

13 октября Anthropic уведомила исследователей, что планирует вывести Dispatch из эксплуатации ориентировочно к концу октября. Однако в справке Dispatch, обновлённой в конце прошлой недели, о прекращении работы функции не говорится. Там указано, что Dispatch закрыт для новых пользователей, но существующие пользователи некоторых планов Pro, Max и Ultra «пока могут продолжать им пользоваться».

В Claude Desktop Dispatch входит в Cowork и отображается в левой панели приложения. Справка рекомендует до включения функции заранее разобраться, как быстро отключать или отзывать доступ, но конкретный порядок действий не объясняет.

Forever Security также считает, что прекращение поддержки Dispatch не устраняет архитектурную предпосылку сценария. Исследователи указали на Claude Code Remote Control и сеансы Claude Cowork как на две функции, через которые расширения могут реализовать аналогичную атаку. Эти функции в опубликованном отчёте не тестировались; отдельный материал с результатами проверки планируется позднее.

Что проверить организациям и пользователям

Российским организациям стоит оценивать риск прежде всего там, где сотрудники используют Claude Desktop и claude[.]ai на рабочих системах, особенно с личными учётными записями на нескольких устройствах. Подтверждённых атак на российские организации в исследовании нет.

• Отключить межустройственный Dispatch, если он не нужен. Если функция необходима, следует изучить процедуры сопряжения, подтверждения и удаления подключённых устройств.
• Учитывать браузерные расширения как обычное ПО на рабочем компьютере: проверять выдаваемые им разрешения, контролировать установку и анализировать обновления, которые расширяют доступ расширения.
• Наблюдать за действиями ИИ-агентов на конечных устройствах: обращать внимание на неожиданную установку пакетов, изменение настроек, доступ к учётным данным и внешние сетевые подключения.
• Отдельно проверять использование личных учётных записей Claude на нескольких устройствах, включая сочетание домашнего ПК и рабочего ноутбука, если на них включён Dispatch.

Практический вывод: в показанном маршруте компрометация расширения может привести к выполнению действий от имени пользователя, только если оно способно запускать скрипты на claude[.]ai, пользователь одновременно авторизован на сайте и в Claude Desktop, включён Dispatch, а компьютер активен и приложение открыто. Claude Code Remote Control и сеансы Claude Cowork исследователи назвали возможными похожими точками входа, но в опубликованном исследовании их не тестировали.