安全研究员 Gal Weizman 披露了 Anthropic Claude 产品中一个名为“ThisBash”的高危漏洞。该漏洞允许攻击者通过恶意浏览器扩展控制 Claude Dispatch，进而指挥 Claude Desktop 在用户计算机上执行任意代码。更严重的是，由于 Dispatch 支持跨设备会话同步，攻击者可利用同一账户在不同机器间横向移动，实现远程命令执行（RCE），且无需依赖浏览器本身的漏洞或大量用户交互。
Weizman 指出，这一漏洞自 2025 年 5 月被发现以来，Anthropic 虽已确认其有效性，但至今未采取实质性修复措施。尽管公司曾计划于 10 月底停用 Dispatch 功能，但该计划并未如期实施。截至 10 月 30 日，Claude 官方支持页面仍显示 Dispatch 作为 Pro、Max 和 Ultra 计划的有限测试版存在，仅对新用户关闭，老用户仍可继续使用。
漏洞原理与攻击路径
Claude Dispatch 是一项允许用户从手机或浏览器向运行在本地计算机上的 AI 代理“Claude Desktop”发送和管理任务的功能。Weizman 的研究发现，Dispatch 的接口及 API 可通过 claude.ai 的标准登录网页会话直接访问。这意味着，任何能够劫持或安装恶意扩展以控制 claude.ai 会话的攻击者，均可向用户的 Claude Desktop 发送指令。
这种设计导致了经典的特权升级：恶意扩展原本局限于浏览器沙箱内，但通过 Dispatch 桥接，它获得了在操作系统层面运行代码的能力，从而完全接管目标机器。考虑到 Claude.ai 在 2026 年年中拥有约 9.5 亿次月访问量，以及 Cowork 功能覆盖超过 60 万家组织的 120 万次抽样会话，潜在受影响范围极为广泛。
攻击链主要包含以下步骤：
- 恶意浏览器扩展在 claude.ai 页面注入 MAIN-world 内容脚本，共享 JavaScript 上下文及用户会话 Cookie。
- 脚本在后台打开一个微小的、非聚焦的弹出窗口，指向 Dispatch 端点 (
https://claude.ai/cowork/agent)，这是攻击过程中唯一可见的痕迹。 - 利用窃取的环境 Cookie，脚本调用
GET /v1/sessions?tags=cowork-dispatch-local接口，获取运行在用户本地机器上的 Claude Desktop 代理会话 ID。 - 脚本开始向代理发送精心构造的提示词（Prompt Injection），诱导其执行恶意操作。
- 由于 Claude 在执行敏感操作前通常需要用户批准，脚本会模拟点击“允许”按钮，或在无人值守的情况下持续重试，直至绕过安全检查。
- 最终实现远程代码执行，例如安装恶意的 npm 包或在操作系统上运行任意命令。
Weizman 展示的概念验证（PoC）中，攻击载荷为安装一个带有恶意 preinstall.js 脚本的 npm 包，该脚本触发计算器应用启动。研究人员强调，一旦浏览器扩展被攻陷，后续攻击步骤几乎是自动化的，成功率极高。
跨企业界限的风险
该漏洞的核心风险在于“跨设备”特性。如果用户在个人电脑和公司电脑上使用同一个 Claude 账户，Dispatch 便成为连接两者的桥梁。攻击者只需控制个人浏览器中的扩展，即可通过云端会话操控公司笔记本电脑上的 Claude Desktop。
永恒安全（Eternal Security）的客户数据显示，在企业环境中，员工共享个人账户的情况相当普遍。在六个受访组织中，个人账户占比从 18% 到 71% 不等；另外四个组织的数据则在 30% 至 44% 之间。具体案例包括：某组织 1,233 个 Claude 账户中有 255 个（18%）为个人账户；另一组织 695 个账户中有 214 个（31%）为个人账户；最高比例的组织中，28 个已知账户里有 20 个（71%）属于个人。
Weizman 表示：“从浏览器逃逸到托管主机是一回事，但云连接允许攻击者横向移动，跨越物理边界进入你本无权限访问的组织环境，这令人震惊。”
设计缺陷与安全建议
即便 Anthropic 未来彻底移除 Dispatch 功能，Weizman 认为 Claude 产品的基本架构缺陷依然存在。目前，Web 版 Claude Cowork 与桌面版会话互通，用户可通过 Web 界面指示桌面代理访问文件、安装软件或执行系统命令。这种设计打破了传统浏览器沙箱的安全边界。
对比其他 AI 代理产品如 OpenAI 的 Codex，它们通常不共享不同设备间的会话，从而避免了此类跨域攻击向量。Weizman 建议，Anthropic 应将 Web 版本视为低权限设备，当 Web 端请求执行超出其权限范围的操作时，系统应予以拦截，而非直接透传给高权限的桌面代理。
“如果你采用在传统威胁模型之上发明新威胁模型的产品，这种冲突就不会消失。”Weizman 总结道。截至发稿，Anthropic 尚未回应关于何时正式退役 Dispatch 或修复此漏洞的具体时间表。
