Wprowadzenie do problemu / definicja
Rosnąca popularność agentów AI integrujących interfejs webowy z aplikacjami desktopowymi tworzy nową klasę ryzyk bezpieczeństwa. Gdy narzędzie oparte na sztucznej inteligencji może odbierać zadania z przeglądarki i realizować je lokalnie na komputerze użytkownika, granica między środowiskiem webowym a systemem operacyjnym zaczyna się zacierać.
Opisany przypadek dotyczy funkcji Claude Dispatch, która w określonych warunkach mogła zostać wykorzystana przez złośliwe lub przejęte rozszerzenie przeglądarki do inicjowania działań w aplikacji Claude Desktop. Nie chodzi tu o klasyczne przełamanie zabezpieczeń przeglądarki, ale o nadużycie relacji zaufania między aktywną sesją webową, funkcją przekazywania zadań i lokalnym agentem AI.
W skrócie
Badacze bezpieczeństwa pokazali scenariusz, w którym rozszerzenie działające na stronie Claude mogło przesyłać polecenia do Claude Desktop, jeśli użytkownik był jednocześnie zalogowany w wersji webowej i desktopowej oraz miał włączoną funkcję Dispatch.
- Wektor ataku opierał się na rozszerzeniu przeglądarki z możliwością uruchamiania skryptów na stronie usługi.
- Claude Desktop traktował przekazane instrukcje jako prawidłowe zadania użytkownika.
- W demonstracji doprowadzono do instalacji pakietu npm i wykonania lokalnej akcji w systemie.
- Kluczowym problemem było zaufanie między warstwą webową a lokalnym wykonaniem poleceń.
Kontekst / historia
Mechanizmy typu cross-device workflow coraz częściej trafiają do produktów AI. Ich zadaniem jest wygodne przekazywanie zadań między urządzeniami, na przykład z przeglądarki lub telefonu do aplikacji uruchomionej na komputerze. Z perspektywy użytkownika oznacza to oszczędność czasu, ale z perspektywy bezpieczeństwa otwiera dodatkową powierzchnię ataku.
W analizowanym scenariuszu badacze zwrócili uwagę, że funkcja Dispatch akceptowała sesję pochodzącą z serwisu webowego, mimo że nie była eksponowana jako standardowy, szeroko widoczny element interfejsu. To stworzyło warunki, w których rozszerzenie działające w kontekście strony mogło inicjować zadania interpretowane przez aplikację desktopową jako działania autoryzowanego użytkownika.
Sprawa wpisuje się także w szerszy problem bezpieczeństwa rozszerzeń przeglądarki. Nawet pozornie zaufane dodatki mogą stać się zagrożeniem po przejęciu procesu aktualizacji, zmianie właściciela projektu, dodaniu złośliwego kodu lub nadużyciu szerokich uprawnień. W połączeniu z agentem AI mającym dostęp do terminala, systemu plików lub aplikacji lokalnych ryzyko staje się znacznie poważniejsze.
Analiza techniczna
Łańcuch ataku wymagał spełnienia kilku warunków. Użytkownik musiał korzystać z rozszerzenia zdolnego do wykonywania skryptów na stronie Claude, pozostawać zalogowany zarówno do interfejsu webowego, jak i do Claude Desktop, a także mieć aktywną funkcję Dispatch.
W scenariuszu testowym złośliwy skrypt uruchomiony w przeglądarce otwierał interfejs Dispatch i przesyłał serię promptów podszywających się pod działania użytkownika. Claude Desktop odbierał te instrukcje jako prawidłowe zadania i przechodził do ich realizacji. Demonstracja obejmowała polecenia prowadzące do instalacji pakietu npm, a następnie do wykonania lokalnej operacji na hoście.
Istotne było również obejście mechanizmu potwierdzeń. System wymagał akceptacji wybranych działań, jednak przyciski zatwierdzające były prezentowane w kontekście strony kontrolowanej przez rozszerzenie. Dzięki temu skrypt mógł automatycznie aktywować przyciski typu „Allow” i finalizować proces bez świadomej interakcji ze strony użytkownika.
Z technicznego punktu widzenia nie był to exploit wykorzystujący uszkodzenie pamięci, błąd sandboxa czy klasyczną lukę RCE w przeglądarce. Wystarczyło zestawienie kilku elementów:
- dostępu rozszerzenia do strony usługi,
- aktywnej sesji użytkownika,
- mechanizmu przekazywania zadań między urządzeniami,
- oraz lokalnych uprawnień aplikacji AI.
Szczególnie niepokojący jest aspekt wielourządzeniowy. Jeśli to samo konto AI jest używane na komputerze prywatnym i służbowym, funkcje tego typu mogą stać się pomostem między środowiskami o różnym poziomie zaufania.
Konsekwencje / ryzyko
Najpoważniejszą konsekwencją jest możliwość przejścia z poziomu przeglądarki do poziomu endpointu. Oznacza to, że zwykłe rozszerzenie przeglądarkowe może stać się pośrednikiem sterującym lokalnym agentem AI, który ma znacznie większe uprawnienia niż kod uruchamiany w karcie przeglądarki.
W praktyce taki scenariusz może prowadzić do szeregu niebezpiecznych działań:
- instalacji nieautoryzowanego oprogramowania,
- pobierania i uruchamiania skryptów,
- modyfikacji ustawień systemowych,
- dostępu do plików lokalnych,
- pozyskania tokenów, sekretów i poświadczeń,
- ustanowienia trwałego dostępu poprzez mechanizmy persistence.
Ryzyko jest szczególnie wysokie tam, gdzie użytkownicy instalują wiele dodatków do przeglądarki i jednocześnie korzystają z narzędzi AI o rozbudowanych uprawnieniach lokalnych. Problem nie dotyczy wyłącznie jednego produktu. To ostrzeżenie dla całej klasy rozwiązań łączących interfejs webowy z agentami działającymi bezpośrednio na stacji roboczej.
W środowisku firmowym skutki mogą obejmować naruszenie segmentacji między urządzeniami prywatnymi i służbowymi, obejście standardowych procesów akceptacji zmian oraz utrudnione wykrywanie incydentu. Działania wykonywane przez legalną aplikację AI mogą bowiem wyglądać jak autoryzowana aktywność użytkownika.
Rekomendacje
Zarówno użytkownicy indywidualni, jak i organizacje powinni traktować ten przypadek jako sygnał ostrzegawczy i wdrożyć dodatkowe zabezpieczenia wokół agentów AI oraz rozszerzeń przeglądarki.
Po stronie użytkownika warto:
- wyłączyć funkcje cross-device, jeśli nie są niezbędne,
- ograniczyć liczbę zainstalowanych rozszerzeń do minimum,
- regularnie przeglądać uprawnienia dodatków i usuwać nieużywane,
- unikać korzystania z jednego konta AI jednocześnie w środowisku prywatnym i służbowym,
- zwracać uwagę na nietypowe działania aplikacji AI, takie jak instalacja pakietów, uruchamianie terminala czy dostęp do wrażliwych katalogów.
Po stronie organizacji zalecane są następujące działania:
- wprowadzenie polityki allowlist dla rozszerzeń przeglądarki,
- blokowanie dodatków z szerokimi uprawnieniami do modyfikacji treści stron,
- rozdzielenie tożsamości i kont używanych prywatnie oraz służbowo,
- ograniczanie uprawnień lokalnych agentów AI zgodnie z zasadą najmniejszych uprawnień,
- zbieranie telemetrii dotyczącej działań aplikacji AI na endpointach,
- monitorowanie instalacji pakietów, nowych procesów, zmian autostartu i połączeń wychodzących inicjowanych przez narzędzia AI,
- uwzględnienie agentów AI w modelowaniu zagrożeń oraz procedurach EDR i XDR.
Producenci oprogramowania powinni natomiast:
- ściśle separować kontekst webowy od ścieżek prowadzących do wykonania lokalnego,
- wymuszać silniejsze i trudne do zautomatyzowania potwierdzenia działań wysokiego ryzyka,
- projektować approval flow poza kontekstem podatnym na manipulację przez rozszerzenia,
- zapewniać przejrzyste mechanizmy parowania i odwoływania urządzeń,
- nakładać dodatkowe ograniczenia na zadania pochodzące z kanałów pośrednich i wielourządzeniowych.
Podsumowanie
Przypadek związany z Claude Dispatch pokazuje, że bezpieczeństwa agentów AI nie da się analizować wyłącznie przez pryzmat prompt injection czy błędów modelu. Równie ważne są granice zaufania między przeglądarką, sesją użytkownika, funkcjami synchronizacji między urządzeniami i lokalnym wykonaniem poleceń.
Jeśli te warstwy zostaną połączone bez odpowiednich zabezpieczeń, nawet zwykłe rozszerzenie przeglądarki może stać się skutecznym wektorem prowadzącym do uruchamiania kodu na komputerze użytkownika. Dla zespołów bezpieczeństwa to wyraźny sygnał, że narzędzia AI z dostępem do endpointu powinny być objęte równie rygorystycznymi kontrolami jak oprogramowanie administracyjne i platformy automatyzacji.
Źródła
- The Hacker News — https://thehackernews.com/2026/11/malicious-browser-extensions-could-use.html
- Forever Security — Technical write-up — https://forever.security
- Anthropic Support — Dispatch help page — https://support.claude.com