Claude Dispatchの設計上の欠陥により、悪意あるブラウザ拡張機能がClaude Desktopを経由してオペレーティングシステムに到達できることが分かりました。別のコンピューターに対しても攻撃が可能です。
Forever Securityの研究者Gal Weizman氏は2026年11月4日、「ThisBash」と名付けたこの攻撃を公表しました。問題の所在はDispatchの認可ロジックにあり、研究者らはブラウザの脆弱性を突くものではないと説明しています。
Dispatchは、スマートフォンからClaude Desktopに指示を送る機能です。Claude Desktopはコードを扱えるエージェントで、コマンドをローカルで実行します。ElectronアプリケーションであるClaude Desktopは、claude.aiとほぼ同じWebインターフェースとAPIを基盤に構築されています。
Gal Weizman氏は、Dispatchのエンドポイントが、認証済みの通常のclaude.aiセッションからのリクエストを受け付けることを発見しました。Webインターフェースは単にナビゲーションリンクを表示していなかっただけです。これは機能を隠しているにすぎず、認可の境界を強制するものではありませんでした。
研究者らは、次の段階を「プロンプトフォーシング」と呼んでいます。信頼度の低いコンポーネントがプロンプトを送信し、エージェントはそれをユーザー自身の指示として扱います。1回限りのペイロードとは異なり、攻撃者はDOMポーリングで各応答を読み取り、それに合わせて次の指示を調整します。
AnthropicのClaude Desktopのコマンド実行攻撃チェーンに関する報道でも、同様の信頼の問題が示されていました。デバイス間の設定同期により、チャットアシスタントがコマンドの経路に変わるというものです。
概念実証（PoC）では、スクリプト化した4つのプロンプトで、Claude Codeに見慣れないパッケージを対象としたnpm install -gの実行を求めました。Claudeは当初ためらいましたが、ユーザーの口調で書いた追加の指示で安心させると、実行に応じました。
1秒間隔のsetInterval処理がすべての「許可」ボタンをクリックするため、人間の承認は不要でした。このパッケージのpreinstall.jsフックは電卓を起動しましたが、ファイルの窃取、SSH鍵の設置、バックドアのインストールも可能だったはずです。
プロンプトインジェクション対策は、このケースをカバーしません。対策は、攻撃者がモデルの読み取るコンテンツに指示を隠すことを前提としているためです。AnthropicがClaude Opus 5について報告した耐性の数値もこの前提に基づいており、今回は攻撃者が入力チャネルそのものを掌握しています。
被害の範囲は、セッションが制御できるデスクトップによって決まります。1台のマシンの場合はサンドボックスからの脱出となります。Dispatchはアカウント単位でデバイスをペアリングするため、2台にまたがる場合はマシン間のリモートコード実行になります。
最悪のケースは、従業員が業務用ノートPCで個人のClaudeアカウントにサインインしている場合です。自宅ブラウザの拡張機能が、ソースコードやクラウド認証情報を保持する社内エンドポイントへの初期侵入経路になります。
Forever Securityによると、デバイス間Dispatchを有効にした個人アカウントが社内エンドポイント上にあることを確認しています。拡張機能の利用も広範に及んでいます。
LayerXの「2025年ブラウザセキュリティレポート」によると、企業ユーザーの99%が少なくとも1つの拡張機能をインストールしており、53%は高または重大な権限を持つ拡張機能を使用していました。
攻撃者はすでに、拡張機能を悪用してホストに到達しています。ネイティブメッセージングを悪用するChrome拡張機能のバックドアは、nm_host.exeを使ってブラウザのサンドボックス外でシェルコマンドを実行しました。
Anthropicは2026年5月19日に報告を受領したと認めましたが、社内で既知の問題の重複として処理を終了しました。10月13日には、Dispatchを2026年10月末をめどに廃止すると表明しています。
根本原因は、Claude Code Remote ControlとCoworkのセッションに残っています。これらは設計上、Webからローカルエージェントを操作できる仕組みです。Weizman氏は、拡張機能がそこでも同じ攻撃を実行できると指摘しています。
防御側は、拡張機能をエンドポイント上のソフトウェアとして扱い、業務上の必要がない場合はデバイス間Dispatchを制限すべきです。また、要求元のコンポーネントが操作できない承認制御も必須とすべきです。テレメトリでは、エージェントのプロセスが起動した想定外のパッケージインストール、認証情報へのアクセス、外部への通信を検知対象にする必要があります。
ANY.RUNを導入し、脅威調査の効率化と手作業の削減を実現している16,000以上のSOCチームに加わりませんか。チーム向けに試してみる
翻訳元: https://cyberpress.org/claude-ai-flaw/
