Tiện ích mở rộng trình duyệt có thể chiếm quyền điều khiển Claude Desktop thông qua tính năng Dispatch

Các nhà nghiên cứu bảo mật tại Forever Security đã chỉ ra một lỗ hổng nghiêm trọng trong hệ sinh thái Claude của Anthropic, cho phép các tiện ích mở rộng trình duyệt thực thi mã tùy ý trên máy tính của người dùng. Cuộc tấn công khai thác tính năng Dispatch, vốn liên kết giao diện web của claude.ai với ứng dụng Claude Desktop cục bộ, qua đó vượt qua các biện pháp bảo vệ sandbox tiêu chuẩn của trình duyệt. Mặc dù Anthropic đã tuyên bố kế hoạch ngừng hỗ trợ Dispatch vào cuối tháng 10 năm 2026, lỗ hổng này vẫn có thể bị khai thác bởi những người dùng hiện tại.

Chuyện gì đã xảy ra

Lỗ hổng tập trung vào cách Claude Desktop chấp nhận các lệnh từ giao diện web. Các nhà nghiên cứu phát hiện ra rằng Dispatch chấp nhận lệnh từ một phiên đăng nhập thông thường trên claude.ai, mặc dù trang web không cung cấp bất kỳ liên kết hoặc dấu hiệu hiển thị nào cho thấy nó được kết nối với agent desktop. Thiết kế này cho phép bất kỳ script nào chạy trong ngữ cảnh trình duyệt của claude.ai—chẳng hạn như những script được chèn bởi tiện ích mở rộng trình duyệt—gửi tác vụ trực tiếp đến AI agent được cài đặt cục bộ.

Trong một thử nghiệm có kiểm soát, nhà nghiên cứu Gal Weizman đã cho thấy một tiện ích mở rộng độc hại có thể yêu cầu Claude Desktop cài đặt một gói npm. Mặc dù AI agent ban đầu do dự vì gói này không quen thuộc, script đã tự động hóa quy trình phê duyệt bằng cách nhấp vào các nút "Allow" (Cho phép) khi chúng xuất hiện trên trang web. Sau khi được phê duyệt, Claude đã thực hiện một lần cài đặt toàn cục, kích hoạt một script mở ứng dụng Calculator. Bằng chứng khái niệm này xác nhận rằng AI agent có thể bị ép buộc thực hiện các hành động với cùng quyền hạn như người dùng, dẫn đến nguy cơ đánh cắp tệp tin hoặc cài đặt cửa hậu (backdoor).

Cuộc tấn công không đòi hỏi phải khai thác lỗ hổng trình duyệt hay thiết lập kỹ thuật phức tạp ngoài việc sử dụng một tiện ích mở rộng bị xâm phạm hoặc độc hại. Nó hoàn toàn dựa vào mối quan hệ tin cậy giữa phiên web và ứng dụng desktop. Các nhà nghiên cứu lưu ý rằng mặc dù thử nghiệm của họ diễn ra trên một máy duy nhất, kiến trúc của Dispatch về mặt lý thuyết có thể cho phép một tiện ích mở rộng trên một thiết bị nhắm mục tiêu vào Claude Desktop trên một thiết bị khác, miễn là cả hai đều đăng nhập vào cùng một tài khoản và bật các tính năng đồng bộ đa thiết bị.

Chi tiết chính

• Vector tấn công: Một tiện ích mở rộng trình duyệt có quyền thực thi script trên claude.ai gửi lệnh đến Claude Desktop thông qua tính năng Dispatch.
• Điều kiện tiên quyết: Nạn nhân phải đăng nhập vào cả claude.ai và Claude Desktop với Dispatch được bật; ứng dụng desktop phải đang mở và máy tính ở trạng thái hoạt động.
• Tự động hóa: Script tấn công tự động nhấp vào các lời nhắc phê duyệt trong trình duyệt, loại bỏ nhu cầu tương tác của người dùng trong suốt quá trình khai thác.
• Phạm vi ảnh hưởng: Lỗi này ảnh hưởng đến người dùng các gói Pro, Max và Ultra có quyền truy cập Dispatch; người dùng mới hiện bị chặn không cho phép bật tính năng này.
• Phản hồi từ nhà cung cấp: Anthropic đã chấp nhận báo cáo vào ngày 19 tháng 5 năm 2026, nhưng đóng lại vì trùng lặp với một phát hiện nội bộ; Dispatch dự kiến sẽ bị ngừng hỗ trợ vào cuối tháng 10 năm 2026.
• Rủi ro trong tương lai: Các nhà nghiên cứu cảnh báo rằng những lỗ hổng tương tự có thể tồn tại trong Claude Code Remote Control và các phiên làm việc Claude Cowork, mặc dù những tính năng này chưa được kiểm thử.

Bối cảnh

Claude Desktop là một AI agent được thiết kế để hoạt động cục bộ trên máy của người dùng, cấp cho nó khả năng đọc tệp, chạy lệnh và tương tác với hệ điều hành. Để nâng cao trải nghiệm người dùng, Anthropic đã giới thiệu Dispatch, một tính năng cho phép người dùng gửi tác vụ từ giao diện di động hoặc web đến agent desktop của họ. Điều này tạo ra một cầu nối giữa dịch vụ web dựa trên đám mây và chương trình thực thi cục bộ.

Các tiện ích mở rộng trình duyệt thường hoạt động trong môi trường sandbox, bị hạn chế truy cập vào hệ thống tệp cục bộ hoặc thực thi lệnh hệ thống trực tiếp. Tuy nhiên, khi một tiện ích mở rộng có thể thao túng nội dung của một trang web đáng tin cậy như claude.ai, nó có thể lợi dụng các kết nối được ủy quyền của trang web đó với các dịch vụ khác. Trong trường hợp này, giao diện web đóng vai trò như một proxy, chuyển đổi các đầu vào script độc hại thành các lệnh trông có vẻ hợp lệ cho agent desktop, sau đó agent này thực thi chúng với đầy đủ quyền hạn của người dùng.

Tại sao vấn đề này quan trọng

Đối với các đội ngũ phụ thuộc vào AI agent cho các nhiệm vụ phát triển hoặc quản trị, sự cố này làm nổi bật rủi ro của việc pha trộn sự tiện lợi dựa trên web với quyền truy cập hệ thống cục bộ. Nhiều nhà phát triển sử dụng tài khoản AI cá nhân trên máy làm việc, thường bật các tính năng đồng bộ đa thiết bị để chuyển đổi luồng công việc liền mạch. Nếu một tài khoản cá nhân bị xâm phạm qua tiện ích mở rộng trình duyệt, nó có thể cung cấp cho kẻ tấn công một đường dẫn trực tiếp để thực thi mã trên phần cứng doanh nghiệp, vượt qua các biện pháp bảo mật endpoint truyền thống vốn giám sát việc thực thi malware trực tiếp.

Việc phụ thuộc vào các phê duyệt tự động càng làm trầm trọng thêm rủi ro. Các AI agent được thiết kế để yêu cầu xác nhận trước khi thực hiện các hành động nhạy cảm, nhưng nếu giao diện hiển thị các lời nhắc đó bị kiểm soát bởi một script độc hại, cơ chế an toàn sẽ trở nên vô hiệu. Điều này nhấn mạnh nhu cầu về các biện pháp kiểm soát chặt chẽ hơn đối với những ứng dụng và tiện ích mở rộng có quyền truy cập vào các quy trình làm việc do AI điều khiển, đặc biệt là những quy trình có quyền hạn cấp hệ thống.

Ngoài ra, kế hoạch ngừng hỗ trợ Dispatch không giải quyết ngay lập tức rủi ro cho người dùng hiện tại, cũng không xử lý mô hình thiết kế cơ bản có thể tồn tại trong các tính năng khác như Claude Cowork. Các tổ chức phải giả định rằng các cơ chế cầu nối tương tự trong các công cụ AI khác có thể trình bày các lỗ hổng tương đương, đòi hỏi một cách tiếp cận chủ động trong việc giám sát hoạt động của AI agent thay vì chỉ dựa vào các bản vá từ nhà cung cấp.

Bạn có thể làm gì

• Tắt ngay tính năng Dispatch đa thiết bị nếu nó không cần thiết cho quy trình làm việc của bạn, và xem xét các thiết bị đã ghép nối để thu hồi quyền truy cập cho bất kỳ endpoint không xác định nào.
• Kiểm tra tất cả các tiện ích mở rộng trình duyệt được cài đặt trên các máy sử dụng Claude Desktop, xóa bỏ những tiện ích không cần thiết hoặc có quyền hạn rộng rãi trên claude.ai.
• Giám sát nhật ký hệ thống và lịch sử AI agent để tìm kiếm các lần cài đặt gói bất ngờ, nỗ lực truy cập thông tin đăng nhập, hoặc các kết nối bên ngoài bất thường do AI khởi tạo.
• Tránh sử dụng tài khoản AI cá nhân trên máy tính công ty, đặc biệt nếu các tài khoản đó đã bật đồng bộ hóa đa thiết bị với máy tính tại nhà.
• Giữ cho Claude Desktop luôn được cập nhật và theo dõi các thông báo của Anthropic liên quan đến việc ngừng hỗ trợ Dispatch và tình trạng của các tính năng thay thế.
• Đối xử với các phê duyệt của AI agent với mức độ xem xét cẩn thận giống như các lệnh sudo quản trị, đảm bảo rằng không có script tự động nào có thể chặn hoặc bỏ qua các bước xác nhận thủ công.