瀏覽器擴充功能可經 Dispatch 令 Claude Desktop 執行程式碼
據網絡安全公司 Forever Security 研究員 Gal Weizman 美國時間 11 月 4 日發表的報告，任何能控制 claude.ai 網頁的瀏覽器擴充功能，都可以經 Claude 的 Dispatch 功能，令 Claude Desktop 在電腦上執行程式碼。他把這種攻擊命名為 ThisBash。
Dispatch 讓用戶從手機或瀏覽器把工作發送到 Claude Desktop，而 Claude Desktop 是一個能讀寫本機檔案、執行指令的 AI 代理。報告指，Dispatch 的介面和 API 在一般已登入的 claude.ai 網頁工作階段就能存取，擴充功能因此可以冒充用戶本人向桌面代理下指令，過程不需要任何瀏覽器漏洞。
示範攻擊靠四句提示和自動按「允許」
Weizman 在概念驗證中，只寫了四句提示，再設定程式每秒自動按一次畫面上的「Allow」（允許）按鈕。據 The Register 報道，Claude 起初對安裝一個陌生的 npm 套件有所遲疑，但腳本以用戶口吻繼續解釋和催促，最終 Claude 照做，安裝的套件打開了電腦的計算機程式，證明可以在本機執行程式碼。
項目 | 內容 |
|---|---|
研究員 | Gal Weizman（Forever Security） |
攻擊名稱 | ThisBash |
前提 | 瀏覽器裝有能控制 claude.ai 的擴充功能，用戶同時登入網頁版和 Claude Desktop |
示範結果 | Claude 安裝 npm 套件，打開計算機程式 |
通報日期 | 2026 年 5 月 14 日 |
Weizman 向 The Register 表示，攻擊者未必要騙人安裝惡意擴充功能，騎劫一個正當的擴充功能往往更容易，這類騎劫經常發生，包括供應鏈入侵，以及在黑市收購正當擴充功能。
同一帳號的另一部電腦也會中招
Dispatch 本身是為跨裝置設計，所以收到指令的 Claude Desktop 可以在另一部電腦上。報告指，同一部電腦上是沙盒逃逸，跨兩部電腦就是遠端執行程式碼；如果員工在公司手提電腦登入私人 Claude 帳號，家中瀏覽器的惡意擴充功能就可能成為入侵公司的入口。
據 The Register 引述 Forever Security 提供的數字，在該公司六家客戶機構中，私人 Claude 帳號佔已知帳號 18% 至 71%。其中一家機構的 1,233 個已知帳號中，有 255 個是私人帳號。
Anthropic 以重複通報結案，未修補
報告指，Weizman 在 5 月 14 日向 Anthropic 通報，Anthropic 確認問題屬實，但以重複通報結案，指已在追蹤同一問題，沒有發放漏洞獎金，亦沒有編配 CVE 編號，只表示計劃在 10 月底停用 Dispatch。據 The Register 報道，截至 10 月 30 日，Claude 官方支援頁面仍列出 Dispatch 以有限測試版形式提供給部分 Pro、Max 和 Ultra 用戶，只是不再開放給新用戶。Anthropic 未有回應 The Register 的查詢。
Weizman 認為，即使停用 Dispatch，問題仍然存在，因為 Claude Code Remote Control 和 Claude Cowork 工作階段同樣讓網頁驅動本機代理。報告的結論是，一個已登入的網頁工作階段，本身不足以證明用戶授權了電腦上的指令。Weizman 表示，他已把這些告訴 Anthropic，「他們仍然決定不處理」。
暫時未有留言
提交留言即表示你已閱讀我們的私隱政策。