Sebuah ekstensi peramban web yang memiliki kemampuan menjalankan skrip di claude.ai dapat memerintahkan aplikasi Claude Desktop mengeksekusi kode langsung di komputer pengguna. Temuan pembuktian konsep ini berhasil diperagakan dalam serangkaian pengujian oleh tim peneliti dari Forever Security, sebuah perusahaan keamanan endpoint.
Metode serangan tersebut memerlukan keberadaan Dispatch, yaitu fitur Claude yang dirancang agar pengguna dapat mengirimkan berbagai instruksi tugas dari ponsel pintar mereka langsung ke Claude Desktop. Celah keamanan yang memungkinkan skenario peretasan ini terjadi dilaporkan masih bisa dieksploitasi hingga saat ini, demikian peringatan para peneliti pada awal pekan ini.
Claude Desktop sendiri berfungsi sebagai agen kecerdasan buatan otonom yang memegang izin untuk mengeksekusi perintah sistem pada komputer tempat aplikasi tersebut terpasang. Tim peneliti mendapati fakta bahwa Dispatch ternyata turut menerima sesi login akun biasa dari peramban claude.ai, situs web resmi Claude, meskipun halaman antarmuka web itu sama sekali tidak menampilkan tautan navigasi langsung ke fitur tersebut. Kondisi ini memungkinkan ekstensi yang aktif di situs web mengirimkan serangkaian perintah berbahaya ke Claude Desktop dengan menyamar seolah-olah instruksi itu datang dari pengguna sah.
Pihak peneliti mengungkapkan bahwa Anthropic, perusahaan pembuat Claude, telah memberi tahu mereka pada 13 Oktober bahwa fitur Dispatch segera dipensiunkan, dengan akhir Oktober ditetapkan sebagai tenggat waktu penghapusan. Kendati demikian, halaman bantuan resmi Dispatch yang diperbarui akhir pekan lalu sama sekali belum mencantumkan informasi mengenai rencana penghentian layanan tersebut.
Laman panduan tersebut hanya menjelaskan bahwa Dispatch kini tertutup bagi pendaftar baru, sementara pelanggan lama yang memakai paket Pro, Max, dan Ultra "masih dapat terus menggunakannya untuk saat ini."
Mekanisme Serangan Bekerja
Berdasarkan laporan teknis yang disusun oleh peneliti Forever Security, Gal Weizman, skema serangan ini membutuhkan dua prasyarat mutlak: keberadaan ekstensi yang diizinkan mengeksekusi skrip di domain claude.ai, serta pengguna yang sedang masuk secara bersamaan di claude.ai maupun Claude Desktop saat fitur Dispatch aktif.
Ekstensi yang menjadi perantara bisa berupa perangkat lunak berbahaya sejak awal, ekstensi resmi terpercaya yang diam-diam disusupi pembaruan jahat, atau alat resmi yang mengandung kerentanan keamanan bawaan. Selain itu, Dispatch hanya dapat memproses instruksi ketika komputer dalam kondisi aktif menyala dan program desktop tetap dibuka.
Pada uji coba tersebut, sebuah skrip jahat pada halaman claude.ai pengguna membuka Dispatch dan secara otomatis mengirimkan empat baris instruksi ke Claude seolah-olah diketik oleh pemilik akun. Rentetan instruksi tersebut meminta Claude untuk mengunduh serta memasang sebuah paket perangkat lunak dari npm.
Awalnya, Claude sempat memperlihatkan keraguan untuk melanjutkan proses karena nama paket perangkat lunak tersebut tidak dikenali. Namun, kiriman pesan susulan yang dirancang menyerupai gaya penulisan pengguna sukses meyakinkan sistem AI untuk tetap mengeksekusi perintah tersebut.
Secara baku Claude selalu meminta izin konfirmasi sebelum mengambil tindakan berisiko, tetapi jendela peringatan persetujuan itu justru muncul di dalam halaman web yang telah dikendalikan oleh ekstensi peramban. Skrip otomatis tersebut secara berkala menekan tombol "Allow" setiap satu detik sekali, sehingga proses berjalan mulus tanpa membutuhkan intervensi atau pengawasan langsung dari korban di depan layar monitor.
Setelah izin terkonfirmasi, Claude langsung mengeksekusi perintah instalasi npm secara global, dan skrip pemasangan paket tersebut seketika memicu pembukaan aplikasi Kalkulator bawaan sistem. Serangan ini berhasil sepenuhnya tanpa memanfaatkan eksploitasi celah keamanan peramban. Langkah manipulasi yang sama sejatinya dapat dipakai mencuri berkas pribadi atau memasang pintu belakang (backdoor) berbahaya, mengingat tingginya tingkat perizinan akses Claude pada sistem operasi komputer, tegas para peneliti.
Uji coba keamanan ini dijalankan dengan peramban dan Claude Desktop yang berada pada perangkat komputer yang sama, dan peneliti menegaskan belum ada laporan insiden nyata di dunia nyata. Namun karena Dispatch menjembatani komunikasi lintas perangkat, ekstensi tersebut juga berpotensi menjangkau Claude Desktop di komputer berbeda asalkan terhubung ke akun Claude yang identik. Skenario jarak jauh ini telah dipaparkan secara teoretis meski belum diperagakan langsung.
Jangkauan sinkronisasi ini dapat menghubungkan komputer pribadi di rumah dengan laptop kantor apabila seseorang menggunakan akun personal Claude yang sama pada kedua gawai dengan Dispatch aktif. Peneliti bahkan telah menemukan penggunaan akun pribadi dengan Dispatch lintas perangkat aktif pada komputer kerja milik sejumlah klien mereka.
Para peneliti telah melaporkan kerentanan ini kepada Anthropic pada 14 Mei. Pihak vendor mengakui validitas temuan itu pada 19 Mei, namun menutup laporannya sebagai duplikat dari masalah yang sebelumnya telah mereka temukan secara internal.
"Anthropic memensiunkan Dispatch, tetapi bukan konsep desain di baliknya," tulis peneliti seraya mengingatkan dua fitur lain, Claude Code Remote Control dan Claude Cowork sessions, membuka peluang serangan serupa. Laporan mereka belum menyertakan pengujian fitur tersebut dan pos lanjutan direncanakan segera.
Langkah yang Bisa Diambil Pengguna Dispatch
Pada aplikasi Claude Desktop, Dispatch merupakan bagian dari fitur Cowork yang posisinya terletak pada bilah panel sisi kiri. Halaman panduan Dispatch menyatakan pengguna wajib memahami cara memutuskan sambungan atau mencabut hak akses secara cepat sebelum mengaktifkannya, sayangnya dokumentasi tersebut tidak memuat panduan cara melakukannya.
Peneliti menyarankan langkah berikut:
