Un’estensione del browser con accesso a claude.ai poteva indurre Claude Desktop a eseguire codice sul computer collegato, anche se quel dispositivo era diverso da quello su cui era aperto il browser. Forever Security ha dimostrato l’attacco con Claude Dispatch: il test si è concluso con l’installazione di un pacchetto npm il cui script di installazione ha aperto la Calcolatrice. L’azienda avverte che lo stesso meccanismo potrebbe essere usato per azioni più dannose.
La vulnerabilità, battezzata ThisBash dai suoi scopritori, non richiedeva di sfruttare il browser. L’estensione sfruttava una normale sessione avviata su claude.ai per controllare Dispatch e inviare istruzioni all’agente desktop come se le avesse scritte l’utente. Il rischio andava oltre il computer personale se l’account Claude era collegato anche a un computer di lavoro.
Anthropic ha ricevuto la segnalazione a maggio 2026 e l’ha ritenuta valida, secondo Forever Security, ma in seguito l’ha chiusa come duplicato di un problema che stava già seguendo internamente. L’azienda aveva comunicato di voler ritirare Dispatch entro la fine di ottobre. Tuttavia, la pagina di assistenza di Claude consultata all’inizio di novembre indica ancora che la funzione è in beta limitata e che chi già la utilizza può continuare a farlo.
Una sessione web controllava Dispatch senza rendere visibile l’accesso
Dispatch consente di inviare attività dal telefono a Claude Desktop, dove l’agente può lavorare con file locali, connettori, estensioni e applicazioni del computer. Per funzionare, il computer deve essere acceso e l’applicazione desktop aperta. La documentazione di Claude lo distingue da una sessione cloud, che viene eseguita sui server di Anthropic.
Forever Security ha scoperto che anche l’interfaccia e l’API di Dispatch accettavano richieste da una normale sessione autenticata di claude.ai. Il sito non mostrava un collegamento alla funzione, ma nascondere l’accesso non ne impediva l’utilizzo. Secondo il ricercatore Gal Weizman, l’estensione poteva aprire la pagina di Dispatch nel browser e inviarle richieste usando la sessione dell’utente.
L’attacco richiedeva che l’estensione potesse eseguire script su claude.ai e che l’utente avesse effettuato l’accesso sia al sito sia a Claude Desktop, con Dispatch attivato. L’estensione poteva essere malevola fin dall’inizio, uno strumento legittimo aggiornato dopo una compromissione oppure un’estensione legittima con una vulnerabilità. Inoltre, Dispatch funziona solo se il computer è attivo e l’applicazione desktop resta aperta.
Nel test, uno script ha aperto Dispatch e inviato quattro istruzioni a Claude. In primo luogo ha chiesto di installare un pacchetto npm. Claude ha mostrato dubbi sul pacchetto sconosciuto; un’istruzione successiva, formulata come se provenisse dall’utente, gli ha dato la sicurezza necessaria per proseguire. L’estensione premeva automaticamente il pulsante «Allow» ogni secondo quando compariva una richiesta di approvazione.
Claude ha infine eseguito un’installazione npm globale. Lo script del pacchetto ha aperto la Calcolatrice, un segnale visibile del fatto che era stata ottenuta l’esecuzione di codice locale. Forever Security sostiene che, con i permessi di Claude sul computer, lo stesso passaggio avrebbe potuto essere usato per sottrarre file o installare una backdoor. La dimostrazione non ha compiuto queste azioni.
“Anthropic is retiring Dispatch, but not the design behind it.”
— Forever Security
Dal browser al computer di lavoro
La dimostrazione è stata eseguita con il browser e Claude Desktop sullo stesso computer. Forever Security afferma che Dispatch poteva raggiungere anche un computer diverso collegato allo stesso account Claude, sebbene il test non abbia mostrato questo scenario. L’estensione installata su un computer personale potrebbe quindi inviare istruzioni all’agente aperto su un altro dispositivo.
Questo collegamento è particolarmente preoccupante quando lo stesso account personale viene usato sia a casa sia su un portatile aziendale. Se Dispatch è attivato e il computer di lavoro è collegato, un’estensione che controlla il browser di casa potrebbe finire per dirigere Claude Desktop sul computer aziendale. Forever Security afferma di aver osservato account personali con Dispatch tra dispositivi attivato sui computer di lavoro dei clienti.
The Register ha pubblicato ulteriori dati relativi a sei organizzazioni clienti di Forever Security. Weizman ha descritto questo campione come una piccola parte della clientela dell’azienda. In queste organizzazioni, gli account personali rappresentavano tra il 18% e il 71% degli account Claude conosciuti; nelle altre quattro organizzazioni, le percentuali andavano dal 30% al 44%.
In una di queste organizzazioni, 255 dei 1.233 account conosciuti — il 18% — erano personali. Un’altra aveva 214 account personali su un totale di 695, pari al 31%. La percentuale più alta riguardava un’organizzazione con 28 account conosciuti: 20 erano personali, il 71%. Sono dati condivisi da Weizman con The Register, non un censimento generale delle aziende.
Weizman ha descritto a The Register il possibile passaggio tra computer come un modo per raggiungere un’organizzazione partendo da un account personale. La portata dipende da quale computer può controllare la sessione compromessa e da come sono collegati i dispositivi. La ricerca non afferma che si siano verificati attacchi reali: The Hacker News ha riferito che i ricercatori non avevano osservato incidenti di questo tipo.
La segnalazione ad Anthropic e il ritiro mai avvenuto
Weizman ha segnalato il problema ad Anthropic il 14 maggio 2026. L’azienda lo ha riconosciuto come valido il 19 maggio, ma ha chiuso la segnalazione ritenendola un duplicato di un problema già individuato internamente, secondo i ricercatori. The Register aggiunge che non è stato assegnato alcun premio per la segnalazione né un identificativo CVE.
Anthropic aveva dichiarato che Dispatch sarebbe stato ritirato entro la fine di ottobre. The Register ha riferito il 5 novembre che il ritiro non era avvenuto: il 30 ottobre, la pagina ufficiale descriveva ancora la funzione come una beta limitata per alcuni piani Pro, Max e Ultra, non disponibile per i nuovi utenti. La pagina di assistenza di Claude indica che chi già la utilizza può continuare a farlo «per ora».
Anthropic non ha risposto alle domande di The Register, tra cui quando intendesse ritirare la funzione. La situazione lascia emergere due dati distinti sullo stato del prodotto: l’impegno a ritirarlo entro la fine di ottobre e la disponibilità documentata per gli utenti esistenti all’inizio di novembre. La pagina di assistenza consultata non annuncia una data di chiusura.
Secondo i ricercatori, eliminare Dispatch non risolverebbe necessariamente il problema di progettazione. Forever Security e Weizman indicano Claude Code Remote Control e le sessioni di Claude Cowork come altre funzioni che possono consentire alle estensioni web di dirigere agenti locali. Forever Security ha annunciato una successiva pubblicazione su queste funzionalità, ma la sua analisi non include test di sfruttamento delle stesse.
Cosa consiglia la ricerca e cosa consente Dispatch
Forever Security propone di trattare separatamente l’accesso a una pagina web e l’autorizzazione a eseguire comandi su un computer. Weizman ha suggerito ad Anthropic di assegnare alla versione web permessi inferiori rispetto a quelli di un dispositivo mobile o desktop e di bloccare da lì le azioni che superano quel livello. Ha inoltre confrontato la progettazione con Codex di OpenAI: secondo lui, le sessioni avviate o aperte sul desktop non vengono condivise con la versione web, impedendo così di interagire con esse dal browser.
L’assistenza di Claude consiglia di fidarsi solo delle applicazioni e dei servizi della catena, di sapere quali file e account restano accessibili e di conoscere le modalità per scollegare o revocare l’accesso. The Hacker News riporta anche le raccomandazioni dei ricercatori: disattivare Dispatch tra dispositivi se non è necessario; verificare come vengono associati, approvati e rimossi i computer; controllare i permessi e gli aggiornamenti delle estensioni; e monitorare le installazioni di pacchetti, le modifiche alla configurazione, l’accesso alle credenziali e le connessioni esterne impreviste.
La documentazione ufficiale indica che Dispatch richiede le versioni recenti di Claude Desktop e Claude per dispositivi mobili, un piano Pro, Max o Ultra, una connessione internet su entrambi i dispositivi e un computer attivo. È disponibile su macOS, Windows x64 e Linux, anche se la funzione di controllo delle applicazioni desktop non è disponibile nella beta di Linux. Su questo sistema è comunque possibile svolgere attività con file, connettori ed estensioni.
L’utilizzo di Claude dà anche un’indicazione della potenziale portata, sebbene le cifre citate non rappresentino utenti unici. The Register attribuisce a dati di Anthropic circa 950 milioni di visite mensili a claude.ai a metà del 2026. Forever Security cita una stima di Similarweb compresa tra 950 e 969 milioni di visite nel settembre 2026, che include le visite ripetute. Anthropic, da parte sua, ha analizzato 1,2 milioni di sessioni Cowork campionate a maggio, provenienti da oltre 600.000 organizzazioni.
Dispatch resta chiuso ai nuovi utenti, ma la documentazione ufficiale consente a quelli attuali di continuare a utilizzarlo. Per ora, chi lo ha attivato dovrebbe verificare quali dispositivi sono collegati e se un’estensione del browser ha accesso a claude.ai.
Fonti: The Hacker News, Forever, The Register, Claude Help Center
