Les extensions de navigateur peuvent détourner Claude Desktop via la fonctionnalité Dispatch

Des chercheurs en sécurité de Forever Security ont démontré une vulnérabilité critique dans l'écosystème Claude d'Anthropic, permettant aux extensions de navigateur d'exécuter du code arbitraire sur l'ordinateur d'un utilisateur. L'attaque exploite la fonctionnalité Dispatch, qui relie l'interface web de claude.ai à l'application locale Claude Desktop, contournant ainsi les protections standard du bac à sable (sandbox) du navigateur. Bien qu'Anthropic ait indiqué son intention de retirer Dispatch d'ici la fin octobre 2026, la faille reste exploitable pour les utilisateurs existants.

Ce qui s'est passé

La vulnérabilité repose sur la manière dont Claude Desktop accepte les instructions provenant de l'interface web. Les chercheurs ont constaté que Dispatch acceptait les commandes d'une session connectée ordinaire sur claude.ai, même si le site ne proposait aucun lien visible ni indication qu'il était connecté à l'agent de bureau. Cette conception permettait à tout script s'exécutant dans le contexte du navigateur de claude.ai—comme ceux injectés par une extension de navigateur—d'envoyer directement des tâches à l'agent IA installé localement.

Lors d'un test contrôlé, le chercheur Gal Weizman a montré qu'une extension malveillante pouvait inciter Claude Desktop à installer un paquet npm. Alors que l'agent IA hésitait initialement en raison du paquet inconnu, le script automatisait le processus d'approbation en cliquant sur les boutons « Allow » dès leur apparition sur la page web. Une fois approuvé, Claude exécutait une installation globale, déclenchant un script qui ouvrait l'application Calculatrice. Cette preuve de concept a confirmé que l'agent IA pouvait être contraint d'effectuer des actions avec les mêmes permissions que l'utilisateur, pouvant potentiellement mener au vol de fichiers ou à l'installation de portes dérobées (backdoors).

L'attaque ne nécessite pas d'exploit de navigateur ni de configuration technique complexe au-delà d'une extension compromise ou malveillante. Elle repose entièrement sur la relation de confiance entre la session web et l'application de bureau. Les chercheurs ont noté que, bien que leur test ait eu lieu sur une seule machine, l'architecture de Dispatch pourrait théoriquement permettre à une extension sur un appareil de cibler Claude Desktop sur un autre, à condition que les deux soient connectés au même compte avec les fonctionnalités inter-appareils activées.

Détails clés

• Vecteur d'attaque : Une extension de navigateur disposant de droits d'exécution de scripts sur claude.ai envoie des commandes à Claude Desktop via la fonctionnalité Dispatch.
• Prérequis : La victime doit être connectée à la fois à claude.ai et à Claude Desktop avec Dispatch activé ; l'application de bureau doit être ouverte et l'ordinateur actif.
• Automatisation : Le script d'attaque clique automatiquement sur les invites d'approbation dans le navigateur, supprimant la nécessité d'une interaction utilisateur pendant l'exploitation.
• Portée : La faille affecte les utilisateurs des plans Pro, Max et Ultra ayant accès à Dispatch ; les nouveaux utilisateurs sont actuellement empêchés de l'activer.
• Réponse du fournisseur : Anthropic a accepté le rapport le 19 mai 2026, mais l'a clôturé comme doublon d'une découverte interne ; Dispatch est prévu pour être retiré fin octobre 2026.
• Risque futur : Les chercheurs avertissent que des vulnérabilités similaires pourraient exister dans Claude Code Remote Control et les sessions Claude Cowork, bien que celles-ci n'aient pas été testées.

Contexte

Claude Desktop est un agent IA conçu pour fonctionner localement sur la machine d'un utilisateur, lui donnant la capacité de lire des fichiers, d'exécuter des commandes et d'interagir avec le système d'exploitation. Pour améliorer l'utilisabilité, Anthropic a introduit Dispatch, une fonctionnalité permettant aux utilisateurs d'envoyer des tâches depuis leurs interfaces mobiles ou web vers leur agent de bureau. Cela crée un pont entre le service web basé sur le cloud et l'exécutable local.

Les extensions de navigateur opèrent généralement dans un environnement isolé (bac à sable), restreint d'accès au système de fichiers local ou d'exécution directe de commandes système. Cependant, lorsqu'une extension peut manipuler le contenu d'un site web de confiance comme claude.ai, elle peut tirer parti des connexions autorisées de ce site vers d'autres services. Dans ce cas, l'interface web agit comme un proxy, traduisant les entrées de script malveillantes en commandes légitimes pour l'agent de bureau, qui les exécute ensuite avec les privilèges complets de l'utilisateur.

Pourquoi c'est important

Pour les équipes qui comptent sur les agents IA pour le développement ou les tâches administratives, cet incident met en lumière les risques liés à la fusion de la commodité basée sur le web avec l'accès au système local. De nombreux développeurs utilisent des comptes IA personnels sur des machines professionnelles, activant souvent les fonctionnalités inter-appareils pour des transitions de flux de travail fluides. Si un compte personnel est compromis via une extension de navigateur, cela pourrait fournir à un attaquant une voie directe pour exécuter du code sur le matériel de l'entreprise, contournant les mesures de sécurité traditionnelles des points de terminaison qui surveillent l'exécution directe de logiciels malveillants.

La dépendance aux approbations automatisées aggrave encore le risque. Les agents IA sont conçus pour demander confirmation avant d'effectuer des actions sensibles, mais si l'interface affichant ces invites est contrôlée par un script malveillant, le mécanisme de sécurité devient inefficace. Cela souligne la nécessité de contrôles plus stricts sur les applications et extensions ayant accès aux flux de travail pilotés par l'IA, en particulier ceux disposant de permissions au niveau système.

De plus, le retrait prévu de Dispatch ne résout pas immédiatement le risque pour les utilisateurs actuels, ni ne traite le modèle de conception sous-jacent qui pourrait persister dans d'autres fonctionnalités comme Claude Cowork. Les organisations doivent supposer que des mécanismes de pontage similaires dans d'autres outils IA pourraient présenter des vulnérabilités comparables, nécessitant une approche proactive de surveillance de l'activité des agents IA plutôt que de compter uniquement sur les correctifs du fournisseur.

Que pouvez-vous faire

• Désactivez immédiatement Dispatch inter-appareils s'il n'est pas essentiel à votre flux de travail, et examinez les appareils appairés pour révoquer l'accès à tous les points de terminaison non reconnus.
• Auditez toutes les extensions de navigateur installées sur les machines où Claude Desktop est utilisé, en supprimant celles qui sont inutiles ou qui ont des permissions étendues sur claude.ai.
• Surveillez les journaux système et l'historique des agents IA pour détecter les installations de paquets inattendues, les tentatives d'accès aux identifiants ou les connexions externes inhabituelles initiées par l'IA.
• Évitez d'utiliser des comptes IA personnels sur les ordinateurs professionnels, surtout si ces comptes ont une synchronisation inter-appareils activée avec des machines domestiques.
• Maintenez Claude Desktop à jour et tenez-vous informé des annonces d'Anthropic concernant le retrait de Dispatch et le statut des fonctionnalités de remplacement.
• Traitez les approbations des agents IA avec la même rigueur que les commandes administratives sudo, en veillant à ce qu'aucun script automatisé ne puisse intercepter ou contourner les étapes de confirmation manuelle.