Forever Security สาธิตส่วนขยายเบราว์เซอร์อันตรายสั่ง Claude Desktop รันโค้ดบนเครื่องผู้ใช้ผ่าน Dispatch — กดอนุมัติแทนเองทุกวินาที ยังใช้โจมตีได้
Forever Security สาธิตว่าส่วนขยายเบราว์เซอร์ที่รันสคริปต์บน claude.ai ได้ สามารถสั่ง Claude Desktop รันโค้ดบนเครื่องผู้ใช้ผ่านฟีเจอร์ Dispatch ที่ใช้ส่งงานจากมือถือได้ เพราะ Dispatch ยอมรับเซสชันที่ล็อกอินบนเว็บตามปกติ สคริปต์ส่ง prompt ในนามผู้ใช้และคลิกปุ่มอนุมัติเองทุกวินาทีจน Claude ติดตั้งแพ็กเกจ npm ที่รันคำสั่งได้ นักวิจัยแจ้ง Anthropic ตั้งแต่พฤษภาคมและบอกว่าช่องโหว่ยังใช้ได้ แต่ยังไม่มีรายงานการโจมตีจริง ผู้ใช้ควรปิด Dispatch ข้ามอุปกรณ์ถ้าไม่จำเป็นและคุมส่วนขยายเบราว์เซอร์