Una extensión de navegador con acceso a claude.ai podía conseguir que Claude Desktop ejecutara código en el ordenador vinculado, incluso si ese equipo era distinto del que alojaba el navegador. Forever Security demostró el ataque con Claude Dispatch: la prueba terminó al instalar un paquete npm cuyo script de instalación abrió la Calculadora. La firma advierte que el mismo mecanismo podría utilizarse para acciones más dañinas.
La vulnerabilidad, bautizada ThisBash por sus descubridores, no requería explotar el navegador. La extensión aprovechaba una sesión normal iniciada en claude.ai para controlar Dispatch y enviar instrucciones al agente de escritorio como si las hubiera escrito la persona usuaria. El riesgo llegaba más allá del equipo personal si la cuenta de Claude también estaba conectada a un ordenador de trabajo.
Anthropic recibió el aviso en mayo de 2026 y lo consideró válido, según Forever Security, pero después lo cerró como duplicado de un problema que ya seguía internamente. La compañía había comunicado que planeaba retirar Dispatch a finales de octubre. Sin embargo, la página de ayuda de Claude consultada a comienzos de noviembre aún dice que la función está en beta limitada y que quienes ya la usan pueden seguir haciéndolo.
Una sesión web controlaba Dispatch sin mostrar el acceso
Dispatch permite enviar tareas desde el teléfono a Claude Desktop, donde el agente puede trabajar con archivos locales, conectores, complementos y aplicaciones del equipo. Para que funcione, el ordenador debe estar encendido y la aplicación de escritorio abierta. La documentación de Claude lo distingue de una sesión en la nube, que se ejecuta en los servidores de Anthropic.
Forever Security encontró que la interfaz y la API de Dispatch también aceptaban solicitudes desde una sesión autenticada corriente de claude.ai. La web no mostraba un enlace a la función, pero ocultar el acceso no impedía utilizarlo. Según el investigador Gal Weizman, la extensión podía abrir la página de Dispatch en el navegador y enviarle solicitudes usando la sesión de la persona.
El ataque requería que la extensión pudiera ejecutar scripts en claude.ai y que la persona hubiera iniciado sesión tanto en la web como en Claude Desktop, con Dispatch habilitado. La extensión podía ser maliciosa desde el principio, una herramienta legítima actualizada tras un compromiso o una extensión legítima con una vulnerabilidad. Dispatch, además, solo funciona si el ordenador está despierto y la aplicación de escritorio permanece abierta.
En la prueba, un script abrió Dispatch y envió cuatro instrucciones a Claude. Primero pidió instalar un paquete npm. Claude mostró dudas ante el paquete desconocido; una indicación posterior, redactada como si procediera de la persona usuaria, le dio confianza para continuar. La extensión pulsaba automáticamente el botón «Allow» cada segundo cuando aparecía una solicitud de aprobación.
Claude acabó ejecutando una instalación global de npm. El script del paquete abrió la Calculadora, una señal visible de que se había alcanzado la ejecución local de código. Forever Security sostiene que, con los permisos de Claude en el equipo, el mismo paso podría haber servido para robar archivos o instalar una puerta trasera. La demostración no realizó esas acciones.
“Anthropic is retiring Dispatch, but not the design behind it.”
— Forever Security
Del navegador al ordenador de trabajo
La demostración se ejecutó con el navegador y Claude Desktop en el mismo equipo. Forever Security afirma que Dispatch también podía alcanzar un ordenador diferente conectado a la misma cuenta de Claude, aunque no mostró ese escenario en la prueba. La extensión instalada en un ordenador personal podría, por tanto, enviar instrucciones al agente abierto en otro dispositivo.
Ese puente preocupa especialmente cuando una misma cuenta personal se utiliza tanto en casa como en un portátil corporativo. Si Dispatch está activado y el ordenador de trabajo está conectado, una extensión que controle el navegador doméstico podría terminar dirigiendo Claude Desktop en el equipo de la empresa. Forever Security afirma haber observado cuentas personales con Dispatch entre dispositivos activado en ordenadores de trabajo de clientes.
The Register publicó cifras adicionales de seis organizaciones clientes de Forever Security. Weizman describió esa muestra como una parte pequeña de la base de clientes de la firma. En ellas, las cuentas personales suponían entre el 18% y el 71% de las cuentas de Claude conocidas; en las otras cuatro organizaciones, los porcentajes iban del 30% al 44%.
En una de esas organizaciones, 255 de 1.233 cuentas conocidas —el 18%— eran personales. Otra tenía 214 cuentas personales de un total de 695, el 31%. El porcentaje más alto correspondía a una organización con 28 cuentas conocidas: 20 eran personales, el 71%. Son datos compartidos por Weizman con The Register, no un recuento general de empresas.
Weizman describió a The Register el posible salto entre equipos como un modo de llegar a una organización desde una cuenta personal. El alcance depende de qué equipo pueda controlar la sesión comprometida y de cómo estén conectados los dispositivos. La investigación no afirma que se hayan producido ataques reales: The Hacker News indicó que los investigadores no habían observado incidentes de este tipo.
El aviso a Anthropic y el retiro que no llegó
Weizman comunicó el fallo a Anthropic el 14 de mayo de 2026. La compañía lo aceptó como válido el 19 de mayo, pero cerró el informe al considerarlo duplicado de un problema que ya había detectado internamente, según los investigadores. The Register añade que no hubo recompensa por el aviso ni se asignó un identificador CVE.
Anthropic dijo que Dispatch sería retirado con el final de octubre como fecha objetivo. The Register informó el 5 de noviembre de que ese retiro no se había producido: el 30 de octubre, la página oficial todavía describía la función como una beta limitada para algunos planes Pro, Max y Ultra, no disponible para nuevos usuarios. La página de ayuda de Claude mantiene la misma disponibilidad para quienes ya la utilizan: pueden seguir haciéndolo «por ahora».
Anthropic no respondió a las preguntas de The Register, entre ellas cuándo pensaba retirar la función. La situación deja dos datos distintos sobre el estado del producto: el compromiso de retirarlo a finales de octubre y la disponibilidad documentada para usuarios existentes a comienzos de noviembre. La página de ayuda consultada no anuncia una fecha de cierre.
Para los investigadores, eliminar Dispatch no resolvería necesariamente el problema de diseño. Forever Security y Weizman señalan Claude Code Remote Control y las sesiones de Claude Cowork como otras funciones que pueden permitir a extensiones web dirigir agentes locales. Forever Security anunció una publicación posterior sobre esas capacidades, pero su análisis no incluye pruebas de explotación de ellas.
Qué recomienda la investigación y qué permite Dispatch
Forever Security propone tratar por separado el acceso a una página web y la autorización para ejecutar comandos en un ordenador. Weizman sugirió a Anthropic que la versión web tuviera permisos inferiores a los de un dispositivo móvil o de escritorio y que se bloquearan desde allí las acciones fuera de ese nivel. También comparó el diseño con Codex de OpenAI: según él, las sesiones iniciadas o abiertas en escritorio no se comparten con la versión web, lo que impediría interactuar con ellas desde el navegador.
La ayuda de Claude aconseja confiar solo en las aplicaciones y servicios de la cadena, conocer qué archivos y cuentas quedan accesibles y saber cómo desconectar o revocar el acceso. The Hacker News recoge además las recomendaciones de los investigadores: desactivar Dispatch entre dispositivos si no hace falta; revisar cómo se emparejan, aprueban y eliminan los equipos; controlar los permisos y las actualizaciones de las extensiones; y vigilar instalaciones de paquetes, cambios de configuración, acceso a credenciales y conexiones externas inesperadas.
La documentación oficial indica que Dispatch requiere las aplicaciones recientes de Claude Desktop y Claude para móviles, un plan Pro, Max o Ultra, conexión a internet en ambos dispositivos y un ordenador activo. Está disponible en macOS, Windows x64 y Linux, aunque la función de control de aplicaciones de escritorio no está disponible en la beta de Linux. En ese sistema todavía pueden realizarse tareas con archivos, conectores y complementos.
El uso de Claude también da una medida de la escala potencial, aunque las cifras citadas no representan usuarios únicos. The Register atribuye a datos de Anthropic unos 950 millones de visitas mensuales a claude.ai a mediados de 2026. Forever Security cita una estimación de Similarweb de entre 950 y 969 millones de visitas en septiembre de 2026, que incluye visitas repetidas. Anthropic, por su parte, analizó 1,2 millones de sesiones de Cowork muestreadas en mayo, procedentes de más de 600.000 organizaciones.
Dispatch sigue cerrado a nuevos usuarios, pero la documentación oficial permite que los actuales continúen utilizándolo. Por ahora, quienes lo tengan activado deben comprobar qué dispositivos están vinculados y si una extensión del navegador tiene acceso a claude.ai.
Fuentes: The Hacker News, Forever, The Register, Claude Help Center
