Claude Desktop ist ein KI-Agent, der Befehle auf dem Rechner ausführen kann, auf dem er installiert ist. Die Forscher stellten fest, dass Dispatch auch eine gewöhnliche angemeldete Sitzung auf der Claude-Website claude.ai akzeptierte, obwohl die Seite selbst keinerlei Verbindung dorthin anzeigte. Dadurch konnte eine auf der Seite laufende Erweiterung Claude Desktop Anweisungen schicken, als kämen sie vom Nutzer selbst.

Laut dem technischen Bericht von Forever-Security-Forscher Gal Weizman braucht der Angriff zwei Dinge: eine Erweiterung mit Skriptrechten auf claude.ai und einen Nutzer, der sowohl bei claude.ai als auch bei Claude Desktop angemeldet ist und Dispatch aktiviert hat. Die Erweiterung kann von vornherein bösartig sein, ein kompromittiertes Update erhalten haben oder selbst eine Sicherheitslücke aufweisen. Dispatch funktioniert nur, solange der Rechner wach und die Desktop-App geöffnet ist.

Im Test öffnete ein Skript auf der claude.ai-Seite des Nutzers Dispatch und schickte Claude vier Eingaben, als stammten sie vom Anwender. Die Eingaben forderten Claude auf, ein npm-Paket zu installieren. Claude zögerte zunächst bei dem unbekannten Paket, ließ sich aber durch eine Folgenachricht in der Stimme des Nutzers zum Weitermachen bewegen. Zwar fragt Claude vor Aktionen nach, doch diese Bestätigungsdialoge erschienen in der Webseite, die die Erweiterung kontrollierte. Das Skript klickte jede Sekunde auf jede vorhandene Schaltfläche „Allow", sodass niemand zusehen musste.

Claude führte daraufhin eine globale npm-Installation aus; das Installationsskript des Pakets öffnete die Rechner-App. Ein Browser-Exploit war nicht nötig. Derselbe Schritt hätte angesichts der Berechtigungen von Claude auf dem Rechner auch Dateien stehlen oder eine Hintertür installieren können, so die Forscher.

Der Test lief mit Browser und Claude Desktop auf demselben Rechner; reale Angriffe sind den Forschern nicht bekannt. Da Dispatch Geräte verbindet, könnte die Erweiterung nach ihrer Einschätzung auch Claude Desktop auf einem anderen Rechner erreichen, der bei demselben Claude-Konto angemeldet ist – dieser Fall wird beschrieben, aber nicht vorgeführt. Auf dieselbe Weise ließe sich ein privater Rechner mit einem Arbeitslaptop verbinden, wenn jemand auf beiden Geräten ein einziges privates Claude-Konto mit aktiviertem Dispatch nutzt. Die Forscher haben bei Kunden bereits private Claude-Konten mit geräteübergreifend aktiviertem Dispatch auf Arbeitsrechnern gesehen.

Gemeldet hatten die Forscher die Schwachstelle an Anthropic am 14. Mai. Das Unternehmen erkannte sie am 19. Mai als gültig an, schloss den Bericht aber als Duplikat eines intern bereits gefundenen Problems, so die Forscher. Anthropic habe ihnen am 13. Oktober mitgeteilt, Dispatch werde eingestellt, angepeilt sei Ende Oktober. Die Hilfeseite zu Dispatch, zuletzt gegen Ende der vergangenen Woche aktualisiert, erwähnt keine Einstellung. Dort heißt es, Dispatch sei für neue Nutzer geschlossen; wer es in bestimmten Pro-, Max- und Ultra-Tarifen bereits verwende, könne es „vorerst weiter nutzen".

„Anthropic stellt Dispatch ein, aber nicht das dahinterliegende Design", schreiben die Forscher. Zwei weitere Claude-Funktionen – Claude Code Remote Control und Claude-Cowork-Sitzungen – erlaubten Erweiterungen denselben Angriff. Ein Test dieser Funktionen ist in der Veröffentlichung nicht enthalten; ein Folgebeitrag ist geplant.

In Claude Desktop ist Dispatch Teil von Cowork und erscheint in der linken Seitenleiste. Die Hilfeseite weist darauf hin, dass Nutzer vor dem Aktivieren wissen sollten, wie sie die Verbindung schnell trennen oder Zugriffe entziehen – erklärt aber nicht, wie das geht.

Die Forscher empfehlen:

  • Geräteübergreifendes Dispatch abschalten, wenn es nicht gebraucht wird; wird es gebraucht, sollte geprüft werden, wie Geräte gekoppelt, freigegeben und entfernt werden.
  • Browser-Erweiterungen wie andere Software auf dem Rechner behandeln: Berechtigungen prüfen, Installationen kontrollieren und Updates überprüfen, die weitergehende Rechte einräumen.
  • Überwachen, was KI-Agenten auf dem Rechner tun – darunter unerwartete Paketinstallationen, Änderungen an Einstellungen, Zugriffe auf Zugangsdaten und externe Verbindungen.