Las extensiones de navegador pueden secuestrar Claude Desktop mediante la función Dispatch

Investigadores de seguridad de Forever Security han demostrado una vulnerabilidad crítica en el ecosistema Claude de Anthropic que permite a las extensiones de navegador ejecutar código arbitrario en el ordenador de un usuario. El ataque explota la función Dispatch, que vincula la interfaz web de claude.ai con la aplicación local Claude Desktop, eludiendo efectivamente las protecciones estándar de sandboxing del navegador. Aunque Anthropic ha indicado planes para retirar Dispatch a finales de octubre de 2026, la falla sigue siendo explotable para los usuarios existentes.

Qué sucedió

La vulnerabilidad se centra en cómo Claude Desktop acepta instrucciones desde la interfaz web. Los investigadores descubrieron que Dispatch aceptaba comandos de una sesión normal iniciada en claude.ai, a pesar de que el sitio web no proporcionaba ningún enlace visible ni indicación de que estuviera conectado al agente de escritorio. Este diseño permitía que cualquier script que se ejecutara dentro del contexto del navegador en claude.ai—como los inyectados por una extensión de navegador—enviara tareas directamente al agente de IA instalado localmente.

En una prueba controlada, el investigador Gal Weizman demostró que una extensión maliciosa podría solicitar a Claude Desktop instalar un paquete npm. Si bien el agente de IA inicialmente dudó debido al desconocimiento del paquete, el script automatizó el proceso de aprobación haciendo clic en los botones "Allow" (Permitir) a medida que aparecían en la página web. Una vez aprobada, Claude ejecutó una instalación global, activando un script que abrió la aplicación Calculadora. Esta prueba de concepto confirmó que el agente de IA podía ser coaccionado para realizar acciones con los mismos permisos que el usuario, lo que potencialmente conduciría al robo de archivos o a la instalación de puertas traseras.

El ataque no requiere una explotación del navegador ni una configuración técnica compleja más allá de una extensión comprometida o maliciosa. Depende completamente de la relación de confianza entre la sesión web y la aplicación de escritorio. Los investigadores señalaron que, aunque su prueba se realizó en una sola máquina, la arquitectura de Dispatch podría teóricamente permitir que una extensión en un dispositivo apunte a Claude Desktop en otro, siempre que ambos estén iniciados en la misma cuenta con las funciones entre dispositivos habilitadas.

Detalles clave

• Vector de ataque: Una extensión de navegador con derechos de ejecución de scripts en claude.ai envía comandos a Claude Desktop a través de la función Dispatch.
• Requisitos previos: La víctima debe haber iniciado sesión tanto en claude.ai como en Claude Desktop con Dispatch habilitado; la aplicación de escritorio debe estar abierta y el ordenador encendido.
• Automatización: El script de ataque hace clic automáticamente en las solicitudes de aprobación en el navegador, eliminando la necesidad de interacción del usuario durante la explotación.
• Alcance: La falla afecta a los usuarios de los planes Pro, Max y Ultra que tienen acceso a Dispatch; actualmente se impide a los nuevos usuarios habilitarla.
• Respuesta del proveedor: Anthropic aceptó el informe el 19 de mayo de 2026, pero lo cerró como duplicado de un hallazgo interno; Dispatch está programado para su retirada a finales de octubre de 2026.
• Riesgo futuro: Los investigadores advierten que podrían existir vulnerabilidades similares en Claude Code Remote Control y en las sesiones de Claude Cowork, aunque estas no fueron probadas.

Contexto

Claude Desktop es un agente de IA diseñado para operar localmente en la máquina de un usuario, otorgándole la capacidad de leer archivos, ejecutar comandos e interactuar con el sistema operativo. Para mejorar la usabilidad, Anthropic introdujo Dispatch, una función que permite a los usuarios enviar tareas desde sus interfaces móviles o web a su agente de escritorio. Esto crea un puente entre el servicio web basado en la nube y el ejecutable local.

Las extensiones de navegador suelen operar dentro de un entorno aislado (sandbox), restringidas para acceder al sistema de archivos local o ejecutar comandos del sistema directamente. Sin embargo, cuando una extensión puede manipular el contenido de un sitio web confiable como claude.ai, puede aprovechar las conexiones autorizadas de ese sitio con otros servicios. En este caso, la interfaz web actúa como un proxy, traduciendo entradas de scripts maliciosos en comandos legítimos para el agente de escritorio, que luego los ejecuta con todos los privilegios del usuario.

Por qué importa

Para los equipos que dependen de agentes de IA para tareas de desarrollo o administrativas, este incidente destaca los riesgos de mezclar la conveniencia basada en la web con el acceso al sistema local. Muchos desarrolladores utilizan cuentas personales de IA en máquinas de trabajo, habilitando a menudo funciones entre dispositivos para transiciones fluidas del flujo de trabajo. Si una cuenta personal se ve comprometida a través de una extensión de navegador, podría proporcionar a un atacante una vía directa para ejecutar código en hardware corporativo, eludiendo las medidas tradicionales de seguridad de endpoints que monitorean la ejecución directa de malware.

La dependencia de aprobaciones automáticas agrava aún más el riesgo. Los agentes de IA están diseñados para solicitar confirmación antes de realizar acciones sensibles, pero si la interfaz que muestra esas solicitudes está controlada por un script malicioso, el mecanismo de seguridad se vuelve ineficaz. Esto subraya la necesidad de controles más estrictos sobre qué aplicaciones y extensiones tienen acceso a los flujos de trabajo impulsados por IA, particularmente aquellos con permisos a nivel de sistema.

Además, la retirada planificada de Dispatch no resuelve inmediatamente el riesgo para los usuarios actuales, ni aborda el patrón de diseño subyacente que puede persistir en otras funciones como Claude Cowork. Las organizaciones deben asumir que mecanismos de puente similares en otras herramientas de IA podrían presentar vulnerabilidades comparables, requiriendo un enfoque proactivo para monitorear la actividad de los agentes de IA en lugar de depender únicamente de los parches del proveedor.

Qué puedes hacer

• Deshabilita Dispatch entre dispositivos inmediatamente si no es esencial para tu flujo de trabajo, y revisa los dispositivos emparejados para revocar el acceso a cualquier endpoint no reconocido.
• Audita todas las extensiones de navegador instaladas en las máquinas donde se usa Claude Desktop, eliminando aquellas innecesarias o con permisos amplios en claude.ai.
• Monitorea los registros del sistema y el historial del agente de IA en busca de instalaciones inesperadas de paquetes, intentos de acceso a credenciales o conexiones externas inusuales iniciadas por la IA.
• Evita usar cuentas personales de IA en ordenadores de trabajo, especialmente si esas cuentas tienen sincronización entre dispositivos habilitada con máquinas domésticas.
• Mantén Claude Desktop actualizado y mantente informado sobre los anuncios de Anthropic respecto a la retirada de Dispatch y el estado de las funciones de reemplazo.
• Trata las aprobaciones de los agentes de IA con el mismo escrutinio que los comandos sudo administrativos, asegurándote de que ningún script automatizado pueda interceptar o eludir los pasos de confirmación manual.