Volgens Forever Security-onderzoeker Gal Weizman kon een browserextensie die een ingelogde claude.ai-sessie bediende via Claude Dispatch Claude Desktop een pakket laten installeren dat Calculator opende. Zijn gecontroleerde proof-of-concept liet zien hoe die route tot lokale code-uitvoering kon leiden. Forever Security publiceerde Weizmans technische verslag op 4 november 2026.

Wat de proof-of-concept liet zien

Dispatch kan een gebruiker vanaf een telefoon taken laten sturen naar Claude op een desktopcomputer. In Weizmans proef kon een extensie die de ingelogde claude.ai-sessie bediende de opdracht via die verbinding naar Claude Desktop sturen. De browser hoefde volgens hem geen eigen beveiligingslek te hebben: de extensie moest wel toegang hebben tot de actieve sessie.

Claude aarzelde aanvankelijk bij het installeren van een onbekend pakket. In de gecontroleerde proef leidde de verdere interactie toch tot installatie, waarna Calculator openging. Dat was de gedemonstreerde uitkomst op de testcomputer.

Wanneer de route een andere computer kon bereiken

Een tweede computer kwam alleen in beeld als het account via Dispatch ook met die desktop verbonden was. Weizman schetste bijvoorbeeld een situatie waarin iemand een persoonlijk Claude-account gebruikte dat gekoppeld was aan een werkcomputer. Het bereik hing dus af van de account- en apparaatverbindingen die voor Dispatch waren ingesteld.

Wat Anthropic over Dispatch vermeldde

Forever Security zegt dat Weizman de bevinding op 14 mei 2026 bij Anthropic meldde. Volgens hem erkende Anthropic de bevinding op 19 mei als geldig, maar sloot het bedrijf de melding als duplicaat van een intern bekende kwestie. Op 13 oktober hoorde Weizman naar eigen zeggen dat Anthropic Dispatch wilde uitfaseren, met eind oktober als streefdatum.

In een update van 30 oktober 2026 vermeldde Anthropic in het Help Center dat Dispatch een beperkte bèta was voor sommige Pro-, Max- en Ultra-abonnees, niet beschikbaar voor nieuwe gebruikers, terwijl bestaande gebruikers het voorlopig konden blijven gebruiken. De instructies vereisten dat Claude Desktop openstond, de computer wakker bleef en beide apparaten internettoegang hadden. Dispatch gebruikte één doorlopende gespreksdraad. In de Linux-bèta waren taken waarvoor computerbediening nodig was niet beschikbaar; bestanden, connectors en plugins konden wel worden gebruikt. Anthropic beschrijft deze voorwaarden in het Help Center.

Maatregelen die de onderzoeker voorstelt

Forever Security adviseert organisaties om bij te houden welke AI-agenten toegang hebben tot systemen en welke rechten ze hebben. Ook stelt het bedrijf voor onnodige functies voor bediening op afstand te beperken, browserextensies strenger te beheren, goedkeuringen los te koppelen van interfaces die een aanvaller kan bedienen en agentactiviteiten te monitoren.

Beoordeel bij een gekoppelde desktopagent ook welke gevolgen controle over de ingelogde browsersessie kan hebben.