W opublikowanym 4 listopada opisie technicznym Forever Security badacz Gal Weizman przedstawił kontrolowany proof of concept, w którym rozszerzenie przeglądarki sterujące zalogowaną sesją claude.ai skierowało Claude Dispatch do wykonania zadania w Claude Desktop. Po instalacji pakietu otworzył się Kalkulator. Demonstracja dotyczyła testu badacza, a nie ataku na użytkownika. Opis techniczny Forever Security

Co pokazał proof of concept

Claude Desktop może wykonywać zadania z użyciem lokalnych plików i aplikacji. Według Weizmana rozszerzenie, które mogło kontrolować uwierzytelnioną sesję claude.ai, wykorzystało Dispatch do przekazania instrukcji agentowi na komputerze. Claude początkowo wahał się przed instalacją nieznanego pakietu, ale dalsze polecenia i automatyczne zatwierdzenia doprowadziły do uruchomienia pakietu otwierającego Kalkulator.

To przejście między sesją przeglądarkową a lokalnym agentem jest sednem opisanego ryzyka: kontrola nad kanałem przekazywania zadań mogła skłonić Claude Desktop do działania na komputerze. Weizman nie opisał w ten sposób incydentu z udziałem ofiary, lecz własny proof of concept.

Kiedy scenariusz mógł sięgnąć innego komputera

Opisany wariant wymagał rozszerzenia zdolnego kontrolować zalogowaną sesję claude.ai. W scenariuszu firmowym zasięg na inny komputer zależał dodatkowo od tego, czy konto mogło połączyć się z działającym tam Claude Desktop. Weizman wskazywał jako przykład prywatne konto Claude połączone z komputerem służbowym.

To warunkowy scenariusz między urządzeniami, a nie skutek samego otwarcia strony internetowej. Według Weizmana do opisanego działania nie był potrzebny exploit przeglądarki; rozszerzenie musiało jednak mieć możliwość kontrolowania strony claude.ai przy aktywnej sesji.

Co Anthropic podawał o Dispatch w październiku 2026 r.

Forever Security podało, że Weizman zgłosił problem Anthropic 14 maja 2026 r. Według jego relacji 19 maja firma uznała zgłoszenie za zasadne, po czym zamknęła je jako duplikat znanego już problemu. Weizman przekazał też, że 13 października Anthropic poinformował go o planie wycofania Dispatch, którego celem był koniec miesiąca.

Artykuł w Anthropic Help Center, zaktualizowany 30 października 2026 r., nadal opisywał Dispatch jako ograniczoną betę dla części użytkowników planów Pro, Max i Ultra. Nowi użytkownicy nie mogli uzyskać dostępu, a dotychczasowi mogli korzystać z funkcji „na razie”. Anthropic Help Center: informacje o Dispatch

Zgodnie z tą dokumentacją podczas wykonywania zadań komputer musi być wybudzony, a Claude Desktop otwarty; oba urządzenia potrzebują też dostępu do internetu. Dispatch korzysta z jednego ciągłego wątku rozmowy. W wersji beta na Linuksa zadania wymagające obsługi komputera nie były dostępne, choć można było korzystać z plików, łączników i wtyczek.

Jakie zabezpieczenia proponował badacz

Forever Security zalecała organizacjom sprawdzenie tożsamości i uprawnień agentów, ograniczenie zbędnych funkcji zdalnego sterowania, kontrolę rozszerzeń przeglądarki, oddzielenie zatwierdzania działań od interfejsu, nad którym może przejąć kontrolę atakujący, oraz monitorowanie aktywności agentów. Są to propozycje badacza dotyczące zarządzania uprawnieniami i nadzoru.

Gdy agent ma dostęp do lokalnych działań, warto osobno kontrolować, kto może wydawać mu polecenia i kto je zatwierdza.