خلل في Claude Dispatch يتيح لإضافات المتصفح تشغيل كود على أجهزة سطح المكتب، بحسب باحث

ثغرة في منتجات Claude من Anthropic قد تتيح لإضافة متصفح تتحكم في Claude Dispatch أن تجعل Claude Desktop ينفّذ كوداً على كمبيوتر المستخدم أو على جهاز آخر مسجل الدخول إلى حساب Claude نفسه، دون استغلال متصفح وبحد أدنى من تفاعل المستخدم، بحسب Gal Weizman، باحث في Forever Security. وقال Weizman إن Anthropic تعلم بالمشكلة منذ مايو ولم تغلقها. تمت تسمية الخلل ThisBash، وأُفصح عنه لـ Anthropic وأُبلغت The Register به.

كيف يعمل الهجوم

تتيح Dispatch للمستخدمين إرسال المهام وإدارتها من هاتف محمول أو متصفح إلى Claude Desktop، وهو وكيل ذكاء اصطناعي يُشغّل أوامر على كمبيوتر. وجد Weizman أن واجهة Dispatch وواجهة برمجة التطبيقات الخاصة بها كانت قابلة للوصول من جلسة ويب عادية مسجلة الدخول في claude.ai، لذا يمكن لإضافة قادرة على التحكم في claude.ai إرسال أوامر إلى Claude Desktop كما لو كانت من المستخدم الشرعي لـ Dispatch. وقال إن وصول Claude إلى ملفات نظام التشغيل يتيح كوداً يُعرّض الجهاز للخطر بالكامل. يتطلب الهجوم إضافة ذات وصول إلى claude.ai، وهو أمر قال Weizman إنه ليس صعباً جداً؛ وغالباً ما يكون اختطاف إضافة شرعية أسهل من خداع شخص لتثبيت إضافة خبيثة. يجب على المستخدمين تسجيل الدخول إلى Claude على الويب وClaude Desktop مع تفعيل Dispatch، مع أن جلسات Cowork وCode remote-control تقلل الحاجة إلى الاشتراك في Dispatch. تستخدم السلسلة content script، وتستحصل على معرّف جلسة سطح المكتب، وتنبّه الوكيل، وتضغط تلقائياً على رسائل الموافقة، وتكرر حتى تنفيذ الكود. في إثبات المفهوم، ثبّت Claude حزمة npm خبيثة؛ ويمكن للهجمات الفعلية سرقة البيانات أو تثبيت باب خلفي.

النطاق وخطر الانتشار عبر الأجهزة

يعتمد نطاق التأثير على سطح المكتب الذي يمكن لجلسة المتصفح المخترقة التحكم فيه عبر Dispatch. على نفس الجهاز، إنها هروب من sandbox، حيث تستخدم الإضافة Dispatch لتوجيه وكيل سطح المكتب. وبما أن Dispatch مصمم للعمل عبر أجهزة متعددة، يمكن لجلسة مخترقة أيضاً الوصول إلى سطح مكتب متصل على كمبيوتر آخر، مما يحول المتصفح إلى نقطة دخول عن بعد. وقال Weizman إن الأمر أكثر إثارة للقلق إذا شارك موظف حساباً عبر أجهزة شخصية وشركات، لأن Dispatch يمكن أن يصبح جسراً من حساب Claude شخصي في متصفح إلى Claude Desktop على كمبيوتر عمل، مما يمنح المهاجمين طريقة لاختراق منظمة للمرة الأولى. في ست منظمات حيث رأت Forever Security حسابات لابتوبات منزلية وشركات مشتركة، تراوحت حسابات Claude الشخصية المرصودة في بيئات الشركات من 18 في المئة إلى 71 في المئة.

استجابة Anthropic وأسئلة التصميم

أقرت Anthropic التقرير بوصفه ثغرة صحيحة في مايو، لكنها أغلقته بوصفه تكراراً لخلل معروف كانت تتابعه بالفعل. لم تدفع مكافأة bug bounty ولم تصدر CVE، لكنها أخبرت Weizman بأنها تخطط لإيقاف Dispatch في نهاية أكتوبر. لم يحدث ذلك. اعتباراً من 30 أكتوبر، أدرجت صفحة دعم Claude الرسمية Dispatch كمتاحة في beta محدود على بعض خطط Pro وMax وUltra، لكنها غير متاحة للمستخدمين الجدد، وقالت إن المستخدمين الحاليين يمكنهم مواصلة استخدامها حالياً. قال Weizman إن الخلل الأساسي في تصميم Claude لا يزال موجوداً حتى لو أُلغي Dispatch، والضعف لا يزال موجوداً الآن في ميزات مثل Claude Code Remote Control وجلسات Claude Cowork. وقال إن Claude Cowork قابل للوصول عبر الإصدار الويب ويشارك نفس الجلسات مع إصدار سطح المكتب، لذا يمكن لإضافة استخدام جلسات Cowork للوصول إلى الملفات، أو تثبيت حزمة npm خبيثة، أو تشغيل كود على نظام التشغيل. اقترح Weizman التعامل مع إصدار الويب كجهاز ذي ثقة أقل وحظر الإجراءات المحفوفة بالمخاطر المطلوبة عبره. وقال إن وكلاء الذكاء الاصطناعي الآخرون، مثل Codex من OpenAI، يتجنبون المشكلة من خلال عدم مشاركة الجلسات.

المصادر: The Register