Browser-Erweiterungen können Claude Desktop über die Dispatch-Funktion kapern

Sicherheitsforscher von Forever Security haben eine kritische Schwachstelle im Claude-Ökosystem von Anthropic nachgewiesen, die es Browser-Erweiterungen ermöglicht, beliebigen Code auf dem Computer eines Nutzers auszuführen. Der Angriff nutzt die Funktion Dispatch aus, die die Weboberfläche von claude.ai mit der lokalen Anwendung Claude Desktop verbindet und damit die standardmäßigen Sandbox-Schutzmechanismen des Browsers umgeht. Obwohl Anthropic Pläne angekündigt hat, Dispatch bis Ende Oktober 2026 einzustellen, bleibt die Sicherheitslücke für bestehende Nutzer weiterhin ausnutzbar.

Was passiert ist

Die Schwachstelle liegt darin, wie Claude Desktop Anweisungen von der Weboberfläche entgegennimmt. Die Forscher stellten fest, dass Dispatch Befehle von einer normalen angemeldeten Sitzung auf claude.ai akzeptierte, obwohl die Website keine sichtbare Verknüpfung oder Anzeige bot, dass sie mit dem Desktop-Agenten verbunden war. Dieses Design erlaubte es jedem Skript, das im Browser-Kontext von claude.ai ausgeführt wird – etwa solche, die von einer Browser-Erweiterung injiziert werden –, Aufgaben direkt an den lokal installierten KI-Agenten zu senden.

In einem kontrollierten Test zeigte der Forscher Gal Weizman, dass eine bösartige Erweiterung Claude Desktop dazu veranlassen konnte, ein npm-Paket zu installieren. Zwar zögerte der KI-Agent zunächst aufgrund des unbekannten Pakets, doch das Skript automatisierte den Genehmigungsprozess, indem es auf die „Allow“-Schaltflächen klickte, sobald diese auf der Webseite erschienen. Nach der Genehmigung führte Claude eine globale Installation durch, die ein Skript auslöste, welches die App „Rechner“ öffnete. Dieser Proof of Concept bestätigte, dass der KI-Agent gezwungen werden kann, Aktionen mit denselben Berechtigungen wie der Nutzer auszuführen, was potenziell zum Diebstahl von Dateien oder zur Installation von Hintertüren führen könnte.

Der Angriff erfordert keinen Browser-Exploit und keine komplexe technische Einrichtung über eine kompromittierte oder bösartige Erweiterung hinaus. Er basiert vollständig auf dem Vertrauensverhältnis zwischen der Web-Sitzung und der Desktop-Anwendung. Die Forscher wiesen darauf hin, dass ihr Test zwar auf einem einzelnen Gerät durchgeführt wurde, die Architektur von Dispatch aber theoretisch ermöglichen könnte, dass eine Erweiterung auf einem Gerät Claude Desktop auf einem anderen angreift, sofern beide mit demselben Konto angemeldet sind und die Geräteübergreifenden Funktionen aktiviert sind.

Wichtige Details

• Angriffsvektor: Eine Browser-Erweiterung mit Skript-Ausführungsrechten auf claude.ai sendet Befehle über die Dispatch-Funktion an Claude Desktop.
• Voraussetzungen: Das Opfer muss bei claude.ai und Claude Desktop angemeldet sein, wobei Dispatch aktiviert ist; die Desktop-App muss geöffnet und der Computer wach sein.
• Automatisierung: Das Angriffsskript klickt automatisch auf Genehmigungsdialoge im Browser, wodurch während des Exploits keine Benutzerinteraktion erforderlich ist.
• Umfang: Die Schwachstelle betrifft Nutzer der Tarife Pro, Max und Ultra, die Zugriff auf Dispatch haben; neuen Nutzern wird die Aktivierung derzeit untersagt.
• Reaktion des Anbieters: Anthropic nahm den Bericht am 19. Mai 2026 entgegen, schloss ihn jedoch als Duplikat eines internen Befundes ab; die Einstellung von Dispatch ist für Ende Oktober 2026 geplant.
• Zukünftiges Risiko: Forscher warnen, dass ähnliche Schwachstellen in Claude Code Remote Control und Claude Cowork-Sitzungen existieren könnten, diese wurden jedoch nicht getestet.

Hintergrund

Claude Desktop ist ein KI-Agent, der darauf ausgelegt ist, lokal auf dem Rechner eines Nutzers zu arbeiten, was ihm die Fähigkeit verleiht, Dateien zu lesen, Befehle auszuführen und mit dem Betriebssystem zu interagieren. Um die Benutzerfreundlichkeit zu verbessern, führte Anthropic Dispatch ein, eine Funktion, die es Nutzern ermöglicht, Aufgaben von ihren mobilen oder Web-Oberflächen an ihren Desktop-Agenten zu senden. Dies schafft eine Brücke zwischen dem cloudbasierten Web-Dienst und der lokalen ausführbaren Datei.

Browser-Erweiterungen laufen normalerweise in einer sandboxed Umgebung, die ihnen den Zugriff auf das lokale Dateisystem oder die direkte Ausführung von Systembefehlen verwehrt. Wenn eine Erweiterung jedoch den Inhalt einer vertrauenswürdigen Website wie claude.ai manipulieren kann, kann sie die autorisierten Verbindungen dieser Seite zu anderen Diensten nutzen. In diesem Fall fungiert die Weboberfläche als Proxy, der bösartige Skript-Eingaben in legitim wirkende Befehle für den Desktop-Agenten übersetzt, der diese dann mit vollen Nutzerprivilegien ausführt.

Warum es wichtig ist

Für Teams, die sich auf KI-Agenten für Entwicklungs- oder Verwaltungsaufgaben verlassen, unterstreicht dieser Vorfall die Risiken, die entstehen, wenn Web-basierter Komfort mit lokalem Systemzugriff kombiniert wird. Viele Entwickler nutzen persönliche KI-Konten auf Arbeitsrechnern und aktivieren oft geräteübergreifende Funktionen für nahtlose Workflow-Übergänge. Wenn ein persönliches Konto über eine Browser-Erweiterung kompromittiert wird, könnte dies einem Angreifer einen direkten Weg bieten, Code auf Unternehmens-Hardware auszuführen, und dabei traditionelle Endpoint-Sicherheitsmaßnahmen umgehen, die nur auf die direkte Ausführung von Malware überwachen.

Das Vertrauen auf automatische Genehmigungen verschärft das Risiko zusätzlich. KI-Agenten sind so konzipiert, dass sie vor sensiblen Aktionen eine Bestätigung anfordern, doch wenn die Schnittstelle, die diese Dialoge anzeigt, von einem bösartigen Skript gesteuert wird, versagt der Sicherheitsmechanismus. Dies betont die Notwendigkeit strengerer Kontrollen darüber, welche Anwendungen und Erweiterungen Zugriff auf KI-gesteuerte Workflows haben, insbesondere solche mit System-Level-Berechtigungen.

Darüber hinaus löst die geplante Einstellung von Dispatch das Risiko für aktuelle Nutzer nicht sofort und adressiert auch nicht das zugrunde liegende Designmuster, das möglicherweise in anderen Funktionen wie Claude Cowork bestehen bleibt. Organisationen müssen davon ausgehen, dass ähnliche Brückenmechanismen in anderen KI-Tools vergleichbare Schwachstellen aufweisen könnten, was einen proaktiven Ansatz zur Überwachung der Aktivitäten von KI-Agenten erfordert, anstatt sich ausschließlich auf Patches des Anbieters zu verlassen.

Was Sie tun können

• Deaktivieren Sie geräteübergreifendes Dispatch sofort, wenn es für Ihren Workflow nicht essenziell ist, und überprüfen Sie gekoppelte Geräte, um den Zugriff für alle nicht erkannten Endpunkte zu widerrufen.
• Prüfen Sie alle Browser-Erweiterungen auf Rechnern, auf denen Claude Desktop verwendet wird, und entfernen Sie unnötige Erweiterungen oder solche mit weitreichenden Berechtigungen auf claude.ai.
• Überwachen Sie Systemprotokolle und die Historie des KI-Agenten auf unerwartete Paketinstallationen, Versuche des Zugriffs auf Anmeldedaten oder ungewöhnliche externe Verbindungen, die vom KI-Agenten initiiert wurden.
• Vermeiden Sie die Nutzung persönlicher KI-Konten auf Arbeitscomputern, insbesondere wenn diese Konten mit Heimgeräten synchronisiert sind.
• Halten Sie Claude Desktop aktuell und informieren Sie sich über Ankündigungen von Anthropic bezüglich der Einstellung von Dispatch und dem Status von Ersatzfunktionen.
• Behandeln Sie Genehmigungen für KI-Agenten mit derselben Sorgfalt wie administrative sudo-Befehle und stellen Sie sicher, dass keine automatisierten Skripte manuelle Bestätigungsschritte abfangen oder umgehen können.