В уязвимости Claude Dispatch обошли защиту ИИ четырьмя сообщениями
Чтобы запустить команду на другом компьютере, злоумышленнику может хватить браузерного расширения с доступом к Claude. Гал Вейцман из Forever Security показал, что механизм Claude Dispatch принимает указания из обычной веб-сессии и передаёт их настольному ИИ-агенту. Уязвимость получила название ThisBash. Dispatch предназначен для удалённой работы с Claude Desktop. Пользователь отправляет задачу с телефона, а агент выполняет её на включённом компьютере, получая доступ к локальным файлам, приложениям и подключённым сервисам. Однако интерфейс Dispatch оказался доступен и через claude.ai. Отсутствие ссылки на странице скрывало возможность, но не ограничивало обращения к её API. Для демонстрации потребовалось расширение браузера с правом запускать скрипты на claude.ai. Вредоносный код открывал небольшое неактивное окно Dispatch, находил сеанс Claude Desktop через API и отправлял запросы от имени авторизованного пользователя. Взламывать браузер, перехватывать пароль или искать отдельную уязвимость операционной системы не понадобилось. Защита Claude сначала насторожилась из-за установки неизвестного npm-пакета. Скрипт отправил ещё несколько сообщений, убедив агента продолжить, и автоматически нажимал кнопки разрешения в подконтрольном окне. После четырёх запросов Claude установил пакет, установочный сценарий которого открыл калькулятор. Реальный запуск кода подтверждён экспериментом, кража данных не показана. Опаснее всего связь между личными и рабочими устройствами. Если сотрудник использует один аккаунт Claude в домашнем браузере и на корпоративном ноутбуке, вредоносное расширение дома потенциально сможет управлять агентом на рабочей машине. При доступе агента к файлам и учётным данным возможны кража документов или установка бэкдора. Подтверждённых атак по схеме ThisBash пока нет. Сценарий требует действующего входа в claude.ai, расширения с доступом к сайту и открытого Claude Desktop с активным Dispatch на целевом устройстве. Приложение работает на Windows, macOS и Linux, поэтому проблема не связана с одной ОС. Угроза не распространяется автоматически на всех пользователей Claude: при отсутствии указанной связки продемонстрированная цепочка не срабатывает. Forever Security уведомила Anthropic 14 мая 2026 года. Через пять дней компания признала проблему, но закрыла обращение как дубликат известного дефекта. В октябре разработчик намеревался убрать Dispatch до конца месяца. Однако в актуальной справке Anthropic подтверждает, что прежние пользователи тарифов Pro, Max и Ultra могут продолжать работу с функцией, хотя новым доступ закрыт. Отдельного CVE и опубликованной оценки CVSS у ThisBash нет, исправленная версия также не названа. Авторы работы считают, что аналогичная граница доверия существует в Claude Code Remote Control и сеансах Claude Cowork, но отдельные испытания этих функций пока не опубликованы. Ранее у ИИ-агентов уже находили ошибку обновления плагинов, допускавшую выполнение чужого кода.