Claude Dispatch-ի խոցելիությունը թույլ է տալիս դիտարկիչի ընդլայնումներին կոդ կատարել դեսկտոպներում, ասում է հետազոտողը

Anthropic-ի Claude արտադրանքներում խոցելիությունը կարող է թույլ տալ, որ claude.ai-ն վերահսկող դիտարկիչի ընդլայնումը Claude Dispatch-ով Claude Desktop-ին կոդ կատարի օգտատիրոջ համակարգչում կամ նույն Claude հաշվի մեկ այլ մեքենայում՝ առանց դիտարկիչի շահագործման և նվազագույն փոխազդեցության, Forever Security-ի հետազոտող Գալ Վայցմանի խոսքով։ Anthropic-ը խնդրի մասին մայիսից գիտի և չի փակել այն, ասաց Վայցմանը։ ThisBash խոցելիությունը հաղորդվել է Anthropic-ին և փոխանցվել The Register-ին։

Ինչպես է աշխատում հարձակումը

Dispatch-ը թույլ է տալիս բջջայինից կամ դիտարկիչից առաջադրանքներ ուղարկել և կառավարել Claude Desktop-ում, որը համակարգչում հրամաններ կատարող AI գործակալ է։ Վայցմանը պարզեց, որ Dispatch-ի ինտերֆեյսն ու API-ն հասանելի են claude.ai-ի սովորական մուտք գործած վեբ սեսիայից, ուստի claude.ai-ն վերահսկող ընդլայնումը կարող է Claude Desktop-ին հրամաններ ուղարկել որպես օրինական Dispatch օգտատեր։ Claude-ի հասանելիությունը օպերացիոն համակարգի ֆայլերին կարող է լիովին վտանգել մեքենան։ Պետք է claude.ai մուտք ունեցող ընդլայնում, ինչը Վայցմանի խոսքով դժվար չէ. օրինական ընդլայնումը զավթելը հաճախ ավելի հեշտ է, քան վնասակարը տեղադրել համոզելը։ Օգտատերերը պետք է մուտք գործած լինեն Claude վեբում և Claude Desktop-ում, իսկ Dispatch-ը միացված լինի, թեև Cowork-ի և Code-ի հեռակառավարման սեսիաները նվազեցնում են Dispatch-ի անհրաժեշտությունը։ Շղթան օգտագործում է content script, ստանում է դեսկտոպ սեսիայի ID-ն, հուշում է գործակալին, ինքնաբերաբար սեղմում է հաստատման հուշումները և կրկնում մինչև կոդի կատարումը։ Ապացույցի կոնցեպտում Claude-ը տեղադրեց վնասակար npm փաթեթ. իրական հարձակումները կարող են տվյալներ գողանալ կամ բեքդոր տեղադրել։

Շրջանակը և մեքենաների միջև ռիսկը

Հարվածի շրջանակը կախված է Dispatch-ով վերահսկվող դեսկտոպից։ Նույն մեքենայում դա ավազարկղից դուրս գալ է, երբ ընդլայնումը Dispatch-ով ուղղորդում է դեսկտոպ գործակալին։ Քանի որ Dispatch-ը նախագծված է մեքենաների միջև աշխատելու, վտանգված սեսիան կարող է հասնել մեկ այլ համակարգչի միացված դեսկտոպին՝ դիտարկիչը դարձնելով հեռավոր մուտքի կետ։ Վայցմանը ասաց, որ ավելի մտահոգիչ է, եթե աշխատակիցը հաշիվը կիսում է անձնական և կորպորատիվ համակարգիչների միջև, քանի որ Dispatch-ը կարող է դառնալ կամուրջ դիտարկիչում անձնական Claude հաշվից աշխատանքային նոութբուքի Claude Desktop-ին, հարձակվողներին տալով կազմակերպություն ներթափանցելու առաջին ուղի։ Վեց կազմակերպություններում, որտեղ Forever Security-ն տեսել է տնային և կորպորատիվ նոութբուքերի հաշիվների կիսում, կորպորատիվ միջավայրերում հանդիպած անձնական Claude հաշիվների մասնաբաժինը տատանվել է 18 տոկոսից մինչև 71 տոկոս։

Anthropic-ի արձագանքը և նախագծման հարցերը

Anthropic-ը մայիսին զեկույցը ճանաչեց որպես վավեր խոցելիություն, բայց փակեց այն որպես հայտնի խոցելիության կրկնօրինակ։ Այն չվճարեց bug bounty և չհրապարակեց CVE, բայց Վայցմանին ասաց, որ ծրագրում է Dispatch-ը հեռացնել հոկտեմբերի վերջին։ Դա չպատահեց։ Հոկտեմբերի 30-ի դրությամբ Claude-ի պաշտոնական աջակցության էջը Dispatch-ը նշում էր որպես սահմանափակ բետա՝ որոշ Pro, Max և Ultra պլաններում, բայց ոչ նոր օգտատերերի համար, և ասում էր, որ գոյություն ունեցող օգտատերերը կարող են շարունակել օգտագործել այն առայժմ։ Վայցմանը ասաց, որ Claude-ի նախագծման հիմնարար խոցելիությունը դեռ գոյություն ունի նույնիսկ Dispatch-ի հեռացման դեպքում, և թուլությունը այժմ շարունակվում է այնպիսի գործառույթներում, ինչպիսիք են Claude Code Remote Control-ը և Claude Cowork սեսիաները։ Claude Cowork-ը հասանելի է վեբ տարբերակով և կիսում է նույն սեսիաները դեսկտոպ տարբերակի հետ, ուստի ընդլայնումը կարող է Cowork սեսիաներ օգտագործել ֆայլեր մուտք գործելու, վնասակար npm փաթեթ տեղադրելու կամ օպերացիոն համակարգում կոդ կատարելու համար։ Վայցմանը առաջարկեց վեբ տարբերակը դիտարկել որպես ավելի ցածր վստահության սարք և արգելափակել դրա միջոցով պահանջվող ռիսկային գործողությունները։ Մյուս AI գործակալները, ինչպիսին է OpenAI-ի Codex-ը, խնդիրը շրջանցում են՝ չկիսելով սեսիաները։

Աղբյուրներ՝ The Register