Investigadores de la firma de seguridad Forever Security han publicado una prueba de concepto que muestra cómo una extensión de navegador capaz de ejecutar scripts en claude.ai puede enviar instrucciones a Claude Desktop y provocar la ejecución de código en el equipo del usuario mediante la función Dispatch.
Qué ocurre y por qué importa
Dispatch es una función de Claude que permite enviar tareas desde un dispositivo (por ejemplo, un teléfono) hacia la aplicación Claude Desktop. Los investigadores comprobaron que Dispatch acepta sesiones válidas iniciadas en claude.ai, aunque el sitio web no muestre públicamente un enlace directo a la función. Esa aceptación de sesión permite que un script inyectado por una extensión actúe como si fuera el usuario y envíe tareas a la app de escritorio.
Cómo se llevó a cabo la demostración
- Un script ejecutado por la extensión abrió la interfaz de Dispatch en la sesión del usuario en claude.ai y envió una serie de mensajes a Claude Desktop simulando la interacción humana.
- Los mensajes pedían a Claude instalar un paquete npm. Claude mostró dudas iniciales, pero un mensaje adicional, formulado en el supuesto «tono» del usuario, convenció al asistente para proceder.
- Las solicitudes de confirmación que genera Claude aparecían dentro de la propia página web controlada por la extensión; el script automatizó los clics en los botones “Allow” cada segundo, de modo que no era necesaria la intervención o vigilancia humana.
- Tras la confirmación, Claude Desktop ejecutó un comando global de npm install; en la prueba, el script de instalación abrió la calculadora, pero los investigadores señalan que podría haberse usado para robar archivos o instalar puertas traseras si la operación hubiera sido maliciosa.
Condiciones necesarias y alcance del riesgo
- Se necesitan dos condiciones: una extensión capaz de ejecutar scripts en claude.ai (maliciosa, comprometida o con vulnerabilidad) y un usuario con sesión iniciada en claude.ai y Claude Desktop con Dispatch activado.
- Dispatch funciona únicamente cuando el equipo está despierto y la aplicación de escritorio está abierta, pero la conexión entre dispositivos permite que la extensión alcance Claude Desktop incluso si está en otro equipo autenticado con la misma cuenta.
- Eso implica riesgo de contabilidad entre dispositivos personales y profesionales cuando se utiliza la misma cuenta de Claude con Dispatch activado en ambos.
Respuesta del proveedor y estado de la función
Según los investigadores, Anthropic comunicó el 13 de octubre a Forever Security que planeaba retirar Dispatch, con final de octubre como objetivo. Sin embargo, la página de ayuda de Dispatch aún indica que la función está cerrada a nuevos usuarios y que los usuarios actuales en determinados planes «pueden seguir usándola por ahora», sin detallar una fecha de retirada.
Qué deben hacer administradores y propietarios de sitios
Los administradores y propietarios de equipos y sitios web deben revisar sus hábitos de autenticación y el uso de funciones de sincronización o envío remoto como Dispatch. Recomendaciones prácticas:
- Desactivar Dispatch o funciones equivalentes en cuentas que se usen en dispositivos de trabajo si no son imprescindibles.
- Evitar usar la misma cuenta personal de asistentes basados en la nube en ordenadores corporativos.
- Revisar y limitar las extensiones instaladas en navegadores; vigilar actualizaciones inesperadas o permisos excesivos en extensiones legítimas.
- Cuando una aplicación solicita confirmación para ejecutar acciones sensibles, supervisar esas ventanas en interfaces web que puedan ser manipuladas por scripts.
Observaciones finales
Los investigadores notificaron el problema a Anthropic en mayo; la empresa reconoció el hallazgo pero lo cerró como duplicado de un problema interno. Forever Security advierte que, además de Dispatch, otras funciones de Claude con control remoto (como sesiones colaborativas y control de código remoto) podrían permitir ataques similares, aunque esos vectores no fueron probados en la demostración inicialmente publicada.
Lee también:
- Resumen de seguridad: Synology, Flowise, Chainalysis, Trezor y riesgos para infraestructuras AI
- Parche en Microsoft Paint para RCE (CVE-2026-83844) ya disponible vía Microsoft Store, no por Windows Update
Fuente: The Hacker News
