Дослідник: вада Claude Dispatch дає змогу розширенням браузера запускати код на комп’ютерах

Вразливість у продуктах Anthropic Claude може дати змогу розширенню браузера, що контролює Claude Dispatch, змусити Claude Desktop виконувати код на комп’ютері користувача або іншому пристрої з тим самим обліковим записом Claude, без експлойту браузера і з мінімальною взаємодією, за словами дослідника з Forever Security Гала Вейзмана. Anthropic знає про проблему з травня і не закрила її, сказав Гал Вейзман. Ваду ThisBash розкрили Anthropic і передали The Register.

Як працює атака

Dispatch дає змогу надсилати завдання з телефону або браузера до Claude Desktop, ШІ-агента, що виконує команди на комп’ютері. Гал Вейзман виявив, що інтерфейс і API Dispatch доступні зі звичайної веб-сесії claude.ai, тож розширення, яке контролює claude.ai, може надсилати команди до Claude Desktop, ніби від легітимного користувача Dispatch. Він сказав, що доступ Claude до файлів операційної системи дає змогу коду повністю скомпрометувати комп’ютер. Атака вимагає розширення з доступом до claude.ai; Гал Вейзман сказав, що це не дуже складно, а перехопити легітимне розширення часто легше, ніж змусити встановити шкідливе. Користувачі мають бути авторизовані в Claude у вебі та в Claude Desktop із увімкненим Dispatch, хоча сесії Cowork і віддаленого керування Code зменшують потребу в Dispatch. Ланцюг використовує контент-скрипт, отримує ID сесії робочого стола, надсилає підказку агенту, автоматично натискає запити підтвердження і повторюється до виконання коду. У доказі концепції Claude установив шкідливий npm-пакет; реальні атаки можуть викрадати дані або встановлювати бекдор.

Масштаб і ризик між комп’ютерами

Радіус ураження залежить від того, який робочий стіл може контролювати скомпрометована браузерна сесія через Dispatch. На одному комп’ютері це вихід із пісочниці: розширення використовує Dispatch для керування агентом робочого стола. Оскільки Dispatch працює між комп’ютерами, скомпрометована сесія може досягти підключеного робочого стола на іншому комп’ютері, перетворюючи браузер на віддалену точку входу. Гал Вейзман сказав, що ще тривожніше, якщо співробітник використовує один обліковий запис на особистому і корпоративному комп’ютерах: Dispatch може стати містком від особистого облікового запису Claude у браузері до Claude Desktop на робочому ноутбуці, даючи нападникам спосіб уперше проникнути в організацію. У шести організаціях, де Forever Security побачила спільні облікові записи домашніх і корпоративних ноутбуків, частка особистих облікових записів Claude в корпоративних середовищах становила від 18 до 71 відсотка.

Відповідь Anthropic і питання дизайну

Anthropic визнала звіт дійсною вразливістю в травні, але закрила його як дублікат відомої вади, яку вже відстежувала. Вона не виплатила винагороду за виявлення вразливості і не видала CVE, але сказала Гал Вейзман, що планує припинити Dispatch наприкінці жовтня. Цього не сталося. Станом на 30 жовтня офіційна сторінка підтримки Claude зазначала Dispatch як доступний у обмеженій бета-версії для деяких тарифів Pro, Max і Ultra, але недоступний новим користувачам, і казала, що наявні користувачі можуть поки що користуватися ним. Гал Вейзман сказав, що фундаментальна вада в дизайні Claude залишається навіть без Dispatch, а слабкість тепер живе у функціях на кшталт Claude Code Remote Control і сесій Claude Cowork. Він сказав, що Claude Cowork доступний через веб-версію і має спільні сесії з версією для робочого стола, тож розширення може використати сесії Cowork для доступу до файлів, установлення шкідливого npm-пакета або виконання коду в ОС. Гал Вейзман запропонував розглядати веб-версію як пристрій нижчої довіри і блокувати ризиковані дії, запитані через неї. Він сказав, що інші ШІ-агенти, як-от OpenAI Codex, уникають проблеми, не маючи спільних сесій.

Джерела: The Register