Der Sicherheitsforscher Gal Weizman berichtet, dass eine Browser-Erweiterung mit Zugriff auf eine angemeldete claude.ai-Sitzung Claude Dispatch dazu brachte, Claude Desktop ein Paket zu installieren, das den Taschenrechner des Computers öffnete. In seinem kontrollierten Proof of Concept führte das zu lokaler Codeausführung. Weizmans technischer Bericht bei Forever Security beschreibt eine Demonstration, keinen Angriff auf reale Nutzer.
Was der Versuch zeigte
Für den beschriebenen Weg musste die Erweiterung eine angemeldete Sitzung auf claude.ai steuern können. Weizman zufolge war dafür kein Browser-Exploit nötig. Die Sitzung konnte Dispatch Anweisungen an Claude Desktop weitergeben, das auf dem Rechner Aufgaben ausführen kann.
Ein Zugriff auf einen anderen Rechner käme in Weizmans Unternehmensszenario nur infrage, wenn dasselbe Konto mit einem erreichbaren Desktop verbunden wäre. Er beschreibt etwa den Fall, dass ein persönliches Claude-Konto mit einem Arbeitscomputer verknüpft ist. Die Verbindung zwischen Web-Sitzung und lokalem Agenten ist dabei der entscheidende Übergang: Ein Zugriff im Browser kann Folgen auf dem verbundenen Rechner haben.
Was Anthropic zu Dispatch festhielt
Weizman zufolge meldete er den Befund am 14. Mai 2026 an Anthropic. Am 19. Mai habe das Unternehmen ihn als gültig anerkannt und den Bericht als Duplikat eines intern bekannten Problems geschlossen. Am 13. Oktober habe Anthropic ihm mitgeteilt, Dispatch bis Ende Oktober einstellen zu wollen.
Der Anthropic-Hilfeeintrag zu Dispatch, aktualisiert am 30. Oktober 2026, führte die Funktion weiterhin als begrenzte Beta für einige Nutzer der Tarife Pro, Max und Ultra. Neue Nutzer konnten Dispatch dem Eintrag zufolge nicht nutzen; bestehende Nutzer sollten es vorerst weiterverwenden können.
Für eine Dispatch-Aufgabe müssen laut Anthropic Claude Desktop geöffnet und der Computer wach sein. Beide Geräte benötigen eine Internetverbindung. Dispatch verwendet einen fortlaufenden Gesprächsfaden. In der Linux-Beta sind Aufgaben, die eine Bedienung des Computers erfordern, nicht verfügbar; Dateien, Konnektoren und Plugins lassen sich dort weiterhin nutzen.
Welche Schutzmaßnahmen Weizman vorschlägt
Forever Security empfiehlt Unternehmen, die Identitäten und Berechtigungen ihrer Agenten zu erfassen, unnötige Fernsteuerungsfunktionen zu begrenzen und Browser-Erweiterungen zu kontrollieren. Außerdem sollten Freigaben getrennt von Oberflächen erfolgen, die eine Erweiterung steuern kann, und Aktivitäten der Agenten überwacht werden. Das sind Vorschläge des Forschers für den Umgang mit verbundenen Agenten und ihren lokalen Berechtigungen.
