O pesquisador Gal Weizman, da Forever Security, relatou uma prova de conceito controlada em que uma extensão de navegador capaz de controlar uma sessão autenticada do claude.ai levou o Claude Desktop a instalar um pacote que abriu a Calculadora. O caso, chamado ThisBash pela Forever Security, demonstra a rota descrita pelo pesquisador, não um ataque observado contra vítimas. O relatório técnico de Weizman detalha o teste.

O que a prova de conceito demonstrou

Claude Dispatch permite enviar tarefas do celular para o Claude Desktop, que pode trabalhar com arquivos e aplicativos locais. Na demonstração relatada, o acesso da extensão à sessão autenticada permitiu enviar instruções ao agente no computador. Weizman disse que não foi necessário explorar uma falha do navegador: a extensão precisava conseguir controlar o claude.ai enquanto a sessão estivesse autenticada.

Claude inicialmente hesitou em instalar um pacote desconhecido. Segundo o relato, instruções posteriores e cliques automatizados nos controles de aprovação levaram a instalação adiante; o pacote abriu a Calculadora. Esse foi o resultado observado na prova de conceito.

Quando uma sessão web pode acionar um agente com acesso ao computador, as permissões do agente também precisam entrar na avaliação de segurança da sessão.

Quando o caminho poderia alcançar outro computador

A extensão não precisava estar no mesmo computador em que o Claude Desktop executava a tarefa. Para isso, porém, a conta comprometida teria de conseguir controlar um desktop conectado pelo Dispatch. No cenário corporativo descrito por Weizman, uma conta pessoal ligada a um computador de trabalho criaria essa ponte entre dispositivos; a possibilidade depende dessas conexões.

O que a Anthropic documentava sobre o Dispatch

Em 14 de maio de 2026, a Forever Security informou ter comunicado a falha à Anthropic. Segundo o pesquisador, a empresa reconheceu o achado como válido em 19 de maio, mas encerrou o relato como duplicado de um problema já conhecido internamente.

Weizman disse que, em 13 de outubro, a Anthropic comunicou a intenção de retirar o Dispatch, com meta para o fim daquele mês. A Central de Ajuda da Anthropic, atualizada em 30 de outubro de 2026, ainda dizia que usuários existentes podiam continuar usando o recurso por enquanto.

A mesma página descrevia o Dispatch como uma beta limitada a alguns usuários dos planos Pro, Max e Ultra, sem acesso para novos usuários. O uso exigia as versões mais recentes do Claude Desktop e do aplicativo móvel, conexão à internet nos dois dispositivos, computador ligado e Claude Desktop aberto. No Linux, tarefas com uso direto de aplicativos do computador não estavam disponíveis na beta, embora tarefas com arquivos, conectores e plugins continuassem funcionando.

Medidas organizacionais sugeridas

A Forever Security recomendou que empresas inventariem os agentes em uso e as permissões associadas a cada identidade, restrinjam recursos de controle remoto sem necessidade e estabeleçam regras para extensões de navegador. Também sugeriu separar as aprovações de ações sensíveis das interfaces que podem enviar instruções ao agente e monitorar atividades como instalações de pacotes, acesso a credenciais e alterações de configuração.