חוקר: פגם ב-Claude Dispatch מאפשר להרחבות דפדפן להריץ קוד על מחשבים שולחניים

פגם במוצרי Claude של Anthropic עלול לאפשר להרחבת דפדפן ששולטת ב-Claude Dispatch לגרום ל-Claude Desktop להריץ קוד במחשב של המשתמש או במכונה אחרת שאליה מחובר אותו חשבון Claude, בלי ניצול פרצה בדפדפן ועם מינימום אינטראקציה של המשתמש, כך לפי חוקר Forever Security גל ויצמן. לדבריו, Anthropic יודעת על הבעיה מאז מאי ולא סגרה אותה. הפגם, המכונה ThisBash, נמסר ל-Anthropic והועבר ל-The Register.

כיצד פועלת ההתקפה

Dispatch מאפשר למשתמשים לשלוח ולנהל משימות מהטלפון הנייד או מהדפדפן אל Claude Desktop, סוכן בינה מלאכותית שמפעיל פקודות במחשב. ויצמן גילה שממשק Dispatch וה-API שלו היו נגישים מתוך הפעלת דפדפן רגילה של משתמש מחובר ב-claude.ai, ולכן הרחבה שמסוגלת לשלוט ב-claude.ai יכלה לשלוח פקודות ל-Claude Desktop כאילו באו מהמשתמש הלגיטימי של Dispatch. לדבריו, הגישה של Claude לקבצי מערכת ההפעלה מאפשרת להריץ קוד שמשתלט לחלוטין על המחשב. ההתקפה דורשת הרחבה עם גישה ל-claude.ai, שלדברי ויצמן אינה קשה במיוחד להשגה; חטיפה של הרחבה לגיטימית קלה בדרך כלל מהטעיית משתמש להתקין הרחבה זדונית. המשתמשים צריכים להיות מחוברים ל-Claude בדפדפן ול-Claude Desktop עם Dispatch מופעל, אם כי הפעלות מרוחקות של Cowork ו-Code מקטינות את הצורך להפעיל את Dispatch. שרשרת ההתקפה משתמשת בסקריפט תוכן, משיגה את מזהה ההפעלה של שולחן העבודה, שולחת הנחיה לסוכן, לוחצת אוטומטית על בקשות אישור, וחוזרת על הפעולה עד להרצת קוד. בהדגמה התקין Claude חבילת npm זדונית; בהתקפה אמיתית אפשר לגנוב נתונים או להתקין דלת אחורית.

היקף הסיכון ומעבר בין מחשבים

היקף הנזק תלוי בשולחן העבודה שאליו יכולה הפעלת הדפדפן שנפרצה להגיע דרך Dispatch. באותו מחשב מדובר ביציאה מארגז החול, כאשר ההרחבה משתמשת ב-Dispatch כדי להפעיל את סוכן שולחן העבודה. מכיוון ש-Dispatch תוכנן לעבוד בין מחשבים, הפעלה שנפרצה יכולה להגיע גם לשולחן עבודה מחובר במחשב אחר, ובכך להפוך את הדפדפן לנקודת כניסה מרחוק. לדברי ויצמן, הדבר מדאיג עוד יותר כאשר עובד משתמש באותו חשבון במחשב אישי ובמחשב חברה, משום ש-Dispatch יכול לשמש גשר מחשבון Claude אישי בדפדפן אל Claude Desktop במחשב הנייד של העבודה, ולספק לתוקפים דרך לחדור לארגון בפעם הראשונה. בשש ארגונים שבהם ראתה Forever Security חשבונות משותפים בין מחשבים ביתיים למחשבי חברה, נעו החשבונות האישיים של Claude שנצפו בסביבות ארגוניות בין 18 ל-71 אחוזים.

תגובת Anthropic ושאלות תכנון

Anthropic אישרה במאי שהדיווח מתאר פגיעות תקפה, אך סגרה אותו ככפילות של פגם מוכר שכבר הייתה במעקב. היא לא שילמה פרס על מציאת באג ולא הוציאה CVE, אך אמרה לויצמן שהיא מתכננת להפסיק את Dispatch בסוף אוקטובר. זה לא קרה. נכון ל-30 באוקטובר, דף התמיכה הרשמי של Claude הציג את Dispatch כזמין בבטא מוגבלת בחלק מתוכניות Pro, Max ו-Ultra, אך לא למשתמשים חדשים, ואמר שמשתמשים קיימים יכולים להמשיך להשתמש בו לעת עתה. לדברי ויצמן, הפגם היסודי בתכנון של Claude קיים גם אם Dispatch יופסק, והחולשה ממשיכה להתקיים בתכונות כמו Claude Code Remote Control והפעלות Claude Cowork. הוא אמר ש-Claude Cowork נגיש דרך גרסת הדפדפן ומשתף את אותן הפעלות כמו גרסת שולחן העבודה, ולכן הרחבה יכולה להשתמש בהפעלות Cowork כדי לגשת לקבצים, להתקין חבילת npm זדונית או להריץ קוד במערכת ההפעלה. ויצמן הציע להתייחס לגרסת הדפדפן כהתקן ברמת אמון נמוכה יותר ולחסום פעולות מסוכנות שמבוקשות דרכו. לדבריו, סוכני בינה מלאכותית אחרים, כמו Codex של OpenAI, נמנעים מהבעיה משום שאינם משתפים הפעלות.

מקורות: The Register