Gal Weizman, investigador de Forever Security, afirmó que una extensión capaz de controlar una sesión autenticada de claude.ai consiguió que Claude Dispatch dirigiera a Claude Desktop para instalar un paquete que abrió Calculator. Forever Security presentó el caso, al que llamó ThisBash, como una prueba de concepto controlada de ejecución de código en el ordenador conectado. El informe técnico de Forever Security describe la demostración.

Qué mostró la prueba de concepto

El paquete abrió Calculator después de que Claude Desktop lo instalara. El resultado ilustra el riesgo que plantea el investigador: una extensión con control de una sesión web autenticada podía enviar instrucciones a Dispatch, que a su vez actuaba sobre el ordenador conectado.

La extensión no necesitó explotar el navegador, según Weizman. Sí tenía que poder controlar claude.ai, y la sesión debía estar autenticada.

Cuándo podía llegar a otro ordenador

El alcance entre equipos dependía de que la cuenta utilizada con Dispatch pudiera acceder a otro escritorio conectado. Weizman describió, como escenario corporativo posible, una cuenta personal de Claude vinculada a un ordenador del trabajo. La conexión entre la sesión web y el agente de escritorio es el salto de permisos que centra el riesgo planteado.

Qué decía Anthropic sobre Dispatch

Forever Security fechó la divulgación a Anthropic el 14 de mayo de 2026. Según Weizman, Anthropic reconoció la validez del hallazgo el 19 de mayo y cerró el aviso como duplicado de un problema que ya conocía internamente. El 13 de octubre, siempre según el investigador, la empresa le comunicó que pretendía retirar Dispatch a finales de ese mes.

El centro de ayuda de Anthropic, actualizado el 30 de octubre de 2026, describía Dispatch como una beta limitada para algunos usuarios de los planes Pro, Max y Ultra. Indicaba que no estaba disponible para nuevos usuarios y que quienes ya lo usaban podían continuar por el momento. La página también especificaba que Claude Desktop debía permanecer abierto, que el ordenador tenía que estar despierto y que ambos dispositivos necesitaban conexión a internet. El centro de ayuda de Anthropic explicaba además que Dispatch utiliza un único hilo continuo. En la beta de Linux se podían usar archivos, conectores y complementos, pero no las tareas que requieren controlar el ordenador.

Qué medidas propone el investigador

Para una organización, conviene revisar qué cuentas y extensiones pueden activar agentes con acceso al equipo local. Weizman y Forever Security propusieron inventariar las identidades de los agentes y sus permisos, restringir las funciones de control remoto que no sean necesarias, supervisar las extensiones del navegador, separar las aprobaciones de las interfaces que pudiera controlar un atacante y vigilar la actividad de los agentes.