Uma extensão de navegador capaz de executar código em claude.ai pode levar o Claude Desktop a executar comandos no computador da vítima, segundo testes realizados por pesquisadores da Forever Security, empresa de segurança de endpoints.
O ataque depende do Dispatch, recurso do Claude que permite enviar tarefas do celular para o Claude Desktop. Segundo os pesquisadores, a falha que torna isso possível ainda podia ser explorada no início desta semana.
O Claude Desktop é um agente de IA capaz de executar comandos no computador em que está instalado. Os pesquisadores descobriram que o Dispatch também aceitava uma sessão autenticada comum no claude.ai, o site do Claude, embora a página não exibisse nenhum link para o recurso. Isso permitia que uma extensão em execução no site enviasse instruções ao Claude Desktop como se fossem do usuário.
Segundo os pesquisadores, a Anthropic, empresa responsável pelo Claude, informou em 13 de outubro que descontinuaria o Dispatch até o fim do mês. No entanto, a página de ajuda do recurso, atualizada pela última vez no fim da semana passada, não menciona a descontinuação.
A página informa que o Dispatch não está disponível para novos usuários. Quem já usa o recurso em alguns planos Pro, Max e Ultra “pode continuar usando por enquanto”.
Como o ataque funciona
De acordo com um relatório técnico de Gal Weizman, pesquisador da Forever Security, o ataque exige dois elementos: uma extensão capaz de executar código em claude.ai e uma pessoa autenticada tanto no claude.ai quanto no Claude Desktop, com o Dispatch ativado.
A extensão pode ser maliciosa, legítima, mas atualizada com uma versão comprometida, ou legítima e afetada por uma falha de segurança. O Dispatch só funciona enquanto o computador está ligado e o aplicativo para computador está aberto.
No teste, um código executado na página do claude.ai abriu o Dispatch e enviou quatro instruções ao Claude como se fossem do usuário. As instruções pediam que o assistente instalasse um pacote npm.
A princípio, o Claude hesitou diante do pacote desconhecido. Mas uma mensagem seguinte, enviada como se fosse do usuário, levou o assistente a prosseguir.
O Claude pede autorização antes de agir, mas as solicitações de aprovação apareciam na página controlada pela extensão. O código clicava no botão “Permitir” a cada segundo, sem que alguém precisasse acompanhar o processo.
Em seguida, o Claude instalou o pacote globalmente pelo npm, e o script de instalação abriu o aplicativo Calculadora. Não foi necessário explorar uma falha no navegador. Segundo os pesquisadores, como o Claude tinha permissões no computador, a mesma etapa poderia ter sido usada para roubar arquivos ou instalar um backdoor.
O teste foi realizado com o navegador e o Claude Desktop no mesmo computador. Os pesquisadores afirmam não ter identificado ataques reais. Como o Dispatch conecta dispositivos, porém, a extensão também poderia alcançar o Claude Desktop em outro computador conectado à mesma conta do Claude. Esse cenário é descrito no relatório, mas não foi demonstrado.
Esse mesmo recurso poderia conectar um computador doméstico a um notebook de trabalho quando alguém usa a mesma conta pessoal do Claude nos dois dispositivos e mantém o Dispatch ativado. Os pesquisadores afirmam ter encontrado contas pessoais do Claude com o recurso de conexão entre dispositivos habilitado em computadores de trabalho de clientes da empresa.
Os pesquisadores comunicaram a falha à Anthropic em 14 de maio. Segundo eles, a empresa confirmou a validade do relato em 19 de maio, mas encerrou o caso como duplicado de um problema que já havia identificado internamente.
“A Anthropic está descontinuando o Dispatch, mas não a ideia por trás dele”, escreveram os pesquisadores. Eles acrescentaram que outros dois recursos do Claude, o Claude Code Remote Control e as sessões do Claude Cowork, permitem que extensões realizem o mesmo tipo de ataque. O relatório não inclui testes desses recursos, e os pesquisadores planejam publicar uma análise complementar.
O que usuários do Dispatch podem fazer
No Claude Desktop, o Dispatch faz parte do Cowork e aparece no painel à esquerda. A página de ajuda do recurso recomenda que os usuários saibam como desconectá-lo rapidamente ou revogar o acesso antes de ativá-lo, mas não explica como fazer isso.
Os pesquisadores recomendam as seguintes medidas:
- Desative a conexão do Dispatch entre dispositivos se não precisar dela. Caso use o recurso, confira como os dispositivos são pareados, autorizados e removidos.
- Trate as extensões de navegador como qualquer outro programa instalado no computador: verifique as permissões, controle o que é instalado e avalie as atualizações que ampliam o acesso.
- Acompanhe as ações dos agentes de IA no computador, incluindo instalações inesperadas de pacotes, alterações de configurações, acesso a credenciais e conexões externas.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...