Newshot 恶意浏览器扩展可利用 Claude Dispatch 在用户电脑上运行代码
终端安全公司 Forever Security 的研究人员在一项测试中展示，一个能在 claude.ai 上运行脚本的浏览器扩展，可能让 Claude Desktop 在个人电脑上运行代码。
该攻击需要 Dispatch，这是 Claude 的一项功能，可让人们从手机向 Claude Desktop 发送任务。研究人员本周早些时候说，使这一切成为可能的漏洞仍可被利用。
Claude Desktop 是一个 AI 智能体，可以在安装它的电脑上运行命令。研究人员发现，Dispatch 也接受 claude.ai 这个 Claude 网站上的普通已登录会话，尽管该网站没有显示指向它的链接。这使得在该网站上运行的扩展能够向 Claude Desktop 发送指令，就像用户发送的一样。
研究人员说，Claude 的开发商 Anthropic 在 10 月 13 日告诉他们，Dispatch 将被停用，目标是 10 月底。Dispatch 帮助页面最近一次更新是在上周晚些时候，没有提到停用。
该页面说，Dispatch 已对新用户关闭，已经在部分 Pro、Max 和 Ultra 套餐上使用它的人“目前可以继续使用”。
攻击如何运作
根据 Forever Security 研究员 Gal Weizman 的一份技术报告，该攻击需要两样东西：一个能在 claude.ai 上运行脚本的扩展，以及一个同时登录 claude.ai 和 Claude Desktop 并开启 Dispatch 的人。
该扩展可能是恶意的，也可能是收到遭篡改更新的合法扩展，或存在安全缺陷的合法扩展。Dispatch 本身只在电脑处于唤醒状态且桌面应用打开时工作。
在测试中，用户 claude.ai 页面上的一个脚本打开了 Dispatch，并以用户身份向 Claude 发送了四条提示。这些提示要求 Claude 安装一个 npm 包。
Claude 起初对这个不熟悉的包犹豫不决，但一条以用户语气发送的后续消息让它继续执行。
Claude 会在行动前询问，但这些批准提示出现在该扩展控制的网页中。脚本每秒点击任何“允许”按钮，因此无需有人盯着。
Claude 随后运行了全局 npm install，该包的安装脚本打开了计算器应用。不需要利用浏览器漏洞。研究人员说，鉴于 Claude 在该电脑上的权限，同一步骤本可以窃取文件或安装后门。
测试是在浏览器和 Claude Desktop 位于同一台电脑上的情况下进行的，研究人员报告没有发生真实攻击。他们说，由于 Dispatch 连接设备，该扩展也可以触及登录同一 Claude 账户的另一台电脑上的 Claude Desktop。这种情况被描述了，但未展示。
当某人在两台设备上使用同一个个人 Claude 账户并开启 Dispatch 时，同样的触及范围可能把家用电脑与工作笔记本电脑连接起来。研究人员在其客户的工作电脑上见过开启跨设备 Dispatch 的个人 Claude 账户。
研究人员于 5 月 14 日向 Anthropic 报告了该漏洞。据研究人员说，该公司于 5 月 19 日将其认定为有效，但以该报告与其内部已发现的问题重复为由关闭了报告。
“Anthropic 正在停用 Dispatch，但不是其背后的设计，”研究人员写道，并补充说，另外两个 Claude 功能 Claude Code Remote Control 和 Claude Cowork sessions 让扩展能够实施同样的攻击。他们的报告没有包含对这些功能的测试，他们计划后续再发一篇文章。
Dispatch 用户可以做什么
像 {{NAME_ab12cd34}} 这样写出的值是真实值的占位符。在回复和工具调用中都完全按原样使用它们：在运行任何内容之前，它们会被填入真实值。不要要求验证它们，也不要用示例替换它们。
文章标题：恶意浏览器扩展可能利用 Claude Dispatch 在用户电脑上运行代码
正文： 在 Claude Desktop 中，Dispatch 是 Cowork 的一部分，显示在左侧面板中。Dispatch 帮助页面称，用户在开启该功能前应了解如何快速断开或撤销访问权限，但页面并未说明具体做法。
研究人员建议采取以下步骤：
- 如果不需要跨设备 Dispatch，就将其关闭。如果确实需要，请了解设备是如何配对、批准和移除的。
- 把浏览器扩展当作电脑上的其他软件对待：检查其权限，控制哪些扩展可以被安装，并留意那些会赋予其更多访问权限的更新。
- 监控 AI 智能体在电脑上的行为，包括意外的软件包安装、设置更改、对凭据的访问以及外部连接。