У Claude Dispatch є вразливість ThisBash: будь-яке розширення браузера з доступом до claude.ai змушує Claude Desktop запускати код на комп'ютері, за даними The Register від 5 листопада 2026 року. Експлойт браузера для цього не потрібен.

Для білдера важливіше за сам Dispatch інше: дослідники Forever Security наголошують, що автентифікована вебсесія сама по собі не доводить, що користувач авторизував команду на своїй машині. На цій довірі тримається й решта звʼязаних функцій Claude, тому вимкнення одного сервісу проблему не знімає.

Як працює атака ThisBash?

Розширення браузера з доступом до claude.ai надсилає команди Claude Desktop так, ніби їх дав сам користувач. Дослідник Гал Вайцман з Forever Security виявив, що інтерфейс і API Dispatch доступні зі звичайної залогіненої сесії на claude.ai. Скрипт розширення ділить із сторінкою контекст JavaScript і куки користувача, тож отримує ID сесії десктопного агента.

Далі працює «prompt forcing»: скрипт пише агенту від імені користувача й читає відповіді. У демонстрації було чотири написані вручну промпти. Claude вагався, коли йшлося про невідомий npm-пакет, але наступне повідомлення «в голосі користувача» його заспокоїло. Кнопки «Allow» скрипт натискав автоматично, раз на секунду. Пакет мав preinstall-хук і відкрив Calculator, а в реальній атаці, зазначає The Register, корисне навантаження, ймовірно, буде значно гіршим: наприклад, malware для крадіжки вихідного коду чи хмарних ключів.

Dispatch повʼязує пристрої, тому десктоп-одержувач може бути іншим комп'ютером з тим самим акаунтом Claude. Сценарій у блозі Forever Security: співробітник входить у свій особистий Claude на робочому ноутбуці, шкідливе розширення в домашньому браузері запускає код на корпоративній машині, поруч із кодом і хмарними доступами.

Чому вимкнення Dispatch не закриває проблему?

Dispatch не єдина функція, яка дає вебу керувати локальним агентом. Claude Code Remote Control і сесії Claude Cowork працюють за тим самим принципом, і Вайцман каже, що розширення виконує через них ту саму атаку. Для Cowork він наводить приклад команд на кшталт «візьми цей файл» чи «встанови цей пакет npm».

За його словами, через Cowork і Remote Control майже зникає потреба в тому, щоб жертва вмикала саме Dispatch. Anthropic планувала вимкнути Dispatch наприкінці жовтня, але станом на 30 жовтня сторінка підтримки Claude досі описувала його як обмежену бету для частини тарифів Pro, Max і Ultra, недоступну новим користувачам. Наявні користувачі можуть працювати далі.

Що Anthropic зробила після звіту?

Anthropic визнала звіт дійсною вразливістю, але закрила його як дублікат відомої проблеми, без винагороди й без CVE. Вайцман повідомив компанії 14 травня 2026 року, а на запитання The Register Anthropic не відповіла, зокрема про дату виведення Dispatch з обігу.

Що робити зараз