Uma extensão de navegador capaz de executar scripts no claude.ai poderia fazer o Claude Desktop rodar código no computador de uma pessoa, mostraram pesquisadores da Forever Security, empresa de segurança de endpoints, em um teste.
O ataque depende do Dispatch, recurso do Claude que permite enviar tarefas do celular para o Claude Desktop. A falha que torna isso possível ainda pode ser explorada, disseram os pesquisadores no início desta semana.
O Claude Desktop é um agente de inteligência artificial capaz de executar comandos no computador em que está instalado. Os pesquisadores descobriram que o Dispatch também aceitava uma sessão comum, com login feito, no claude.ai, o site do Claude, mesmo sem exibir qualquer link para o recurso. Isso permitia que uma extensão rodando no site enviasse instruções ao Claude Desktop como se o próprio usuário as tivesse enviado.
Os pesquisadores afirmam que a Anthropic, empresa que desenvolve o Claude, informou em 13 de outubro que o Dispatch seria desativado, com previsão para o fim de outubro. A página de ajuda do Dispatch, atualizada pela última vez no fim da semana passada, não menciona a desativação.
Segundo a página, o Dispatch está fechado para novos usuários, e quem já o utiliza em alguns planos Pro, Max e Ultra “pode continuar usando por enquanto”.
Como o ataque funcionava
O ataque depende de duas condições, segundo um relatório técnico do pesquisador Gal Weizman, da Forever Security: uma extensão capaz de executar scripts no claude.ai e uma pessoa conectada ao claude.ai e ao Claude Desktop, com o Dispatch ativado.
A extensão poderia ser maliciosa, uma extensão legítima que recebeu uma atualização comprometida ou uma extensão legítima com uma falha de segurança. O Dispatch só funciona enquanto o computador estiver ligado e o aplicativo de desktop estiver aberto.
No teste, um script na página do claude.ai do usuário abriu o Dispatch e enviou quatro comandos ao Claude, como se fossem do próprio usuário. Os comandos pediam que o Claude instalasse um pacote npm (gerenciador de pacotes do Node.js).
O Claude hesitou inicialmente diante do pacote desconhecido, mas uma mensagem de acompanhamento, enviada com a voz do usuário, fez com que ele seguisse em frente.
O Claude pede aprovação antes de agir, mas essas solicitações apareciam na página web controlada pela extensão. O script clicava em qualquer botão “Permitir” a cada segundo, de modo que ninguém precisava estar acompanhando.
Em seguida, o Claude executou uma instalação global do npm, e o script de instalação do pacote abriu o aplicativo Calculadora. Não foi necessária nenhuma exploração do navegador. Segundo os pesquisadores, o mesmo passo poderia ter roubado arquivos ou instalado uma porta dos fundos, considerando as permissões do Claude no computador.
O teste foi feito com o navegador e o Claude Desktop no mesmo computador, e os pesquisadores não relatam ataques reais. Como o Dispatch conecta dispositivos, a extensão também poderia alcançar o Claude Desktop em outro computador conectado à mesma conta do Claude, afirmam. Esse cenário é descrito, mas não foi demonstrado.
O mesmo alcance poderia ligar um computador doméstico a um notebook de trabalho quando a pessoa usa uma única conta pessoal do Claude nos dois aparelhos, com o Dispatch ativado. Os pesquisadores já encontraram contas pessoais do Claude com o Dispatch entre dispositivos ativado em computadores de trabalho de seus clientes.
Os pesquisadores comunicaram a falha à Anthropic em 14 de maio. A empresa aceitou o problema como válido em 19 de maio, mas encerrou o relatório como duplicata de um problema que já havia identificado internamente, segundo os pesquisadores.
“A Anthropic está desativando o Dispatch, mas não o design por trás dele”, escreveram os pesquisadores. Eles acrescentaram que outros dois recursos do Claude, o Claude Code Remote Control e as sessões do Claude Cowork, permitem que extensões realizem o mesmo ataque. O relatório não inclui testes com esses recursos, e os pesquisadores planejam publicar uma continuação.
O que os usuários do Dispatch podem fazer
No Claude Desktop, o Dispatch faz parte do Cowork e aparece no painel lateral esquerdo. A página de ajuda do Dispatch diz que os usuários devem saber como desconectar ou revogar o acesso rapidamente antes de ativar o recurso, mas não explica como fazer isso.
Os pesquisadores recomendam as seguintes medidas:
- Desative o Dispatch entre dispositivos se você não precisar dele. Se precisar, revise como os dispositivos são pareados, aprovados e removidos.
- Trate as extensões de navegador como qualquer outro software do computador: verifique suas permissões, controle o que é instalado e revise as atualizações que concedem mais acesso.
- Monitore o que os agentes de inteligência artificial fazem no computador, incluindo instalações inesperadas de pacotes, alterações de configurações, acesso a credenciais e conexões externas.
