Lỗ hổng Claude Dispatch: tiện ích trình duyệt độc hại có thể chạy mã trên máy người dùng

Các nhà nghiên cứu tại Forever Security, một công ty bảo mật endpoint, đã chứng minh trong một thử nghiệm rằng tiện ích trình duyệt có thể chạy script trên claude.ai có thể khiến Claude Desktop chạy mã trên máy tính của người dùng. Theo nhóm nghiên cứu, lỗ hổng cho phép kịch bản này vẫn có thể bị khai thác tính đến đầu tuần này.

Cơ chế của cuộc tấn công

Cuộc tấn công cần hai yếu tố: một tiện ích có khả năng chạy script trên claude.ai, và một người dùng đã đăng nhập đồng thời vào claude.ai lẫn Claude Desktop với tính năng Dispatch được bật. Tiện ích đó có thể là phần mềm độc hại, một tiện ích hợp pháp bị chiếm quyền qua bản cập nhật, hoặc một tiện ích hợp pháp có lỗ hổng bảo mật.

Claude Desktop là một AI agent có thể thực thi lệnh trên máy đã cài đặt. Dispatch là tính năng của Claude cho phép người dùng gửi nhiệm vụ từ điện thoại tới Claude Desktop. Nhà nghiên cứu Gal Weizman của Forever Security phát hiện Dispatch cũng chấp nhận một phiên đăng nhập thông thường trên claude.ai, dù trang web không hiển thị liên kết nào tới tính năng này. Nhờ đó, tiện ích đang chạy trên trang có thể gửi chỉ thị tới Claude Desktop như thể chính người dùng gửi.

Dispatch chỉ hoạt động khi máy tính đang thức và ứng dụng desktop đang mở. Trong thử nghiệm, script trên trang claude.ai của người dùng mở Dispatch và gửi cho Claude bốn prompt như thể người dùng nhập, yêu cầu Claude cài một gói npm. Claude thoạt đầu do dự vì gói lạ, nhưng một tin nhắn tiếp theo với giọng điệu của người dùng đã khiến nó đồng ý.

Hệ quả và phản hồi từ Anthropic

Claude vốn hỏi trước khi hành động, nhưng các hộp thoại phê duyệt lại hiện ra ngay trên trang web mà tiện ích kiểm soát. Script tự bấm nút "Allow" mỗi giây nên không cần ai theo dõi. Claude sau đó chạy lệnh npm install toàn cục, và script cài đặt của gói mở ứng dụng Calculator. Không cần khai thác lỗ hổng trình duyệt nào. Theo nhóm nghiên cứu, với quyền mà Claude có trên máy, bước tương tự có thể đánh cắp tệp hoặc cài backdoor.

Thử nghiệm được chạy với trình duyệt và Claude Desktop trên cùng một máy, và nhóm nghiên cứu cho biết chưa ghi nhận cuộc tấn công thực tế nào. Tuy nhiên, vì Dispatch kết nối các thiết bị, tiện ích cũng có thể tiếp cận Claude Desktop trên một máy khác đăng nhập cùng tài khoản Claude. Trường hợp này được mô tả nhưng không trình diễn. Cách tiếp cận tương tự có thể nối máy tính ở nhà với laptop công ty khi ai đó dùng chung một tài khoản Claude cá nhân trên cả hai thiết bị với Dispatch bật. Nhóm nghiên cứu cho biết từng thấy tài khoản Claude cá nhân bật Dispatch xuyên thiết bị trên máy tính công ty của khách hàng.

Nhóm nghiên cứu báo lỗ hổng cho Anthropic ngày 14/5. Công ty xác nhận hợp lệ ngày 19/5 nhưng đóng báo cáo vì trùng với một vấn đề họ đã phát hiện nội bộ. Theo nhóm nghiên cứu, Anthropic thông báo với họ ngày 13/10 rằng Dispatch sẽ bị ngừng, dự kiến vào cuối tháng 10. Trang trợ giúp của Dispatch cập nhật lần cuối vào cuối tuần trước không đề cập việc ngừng này, chỉ nói Dispatch đóng với người dùng mới và những ai đang dùng trên một số gói Pro, Max, Ultra "có thể tiếp tục dùng trong thời gian tới".

Nhóm nghiên cứu nhận định Anthropic đang ngừng Dispatch nhưng không ngừng thiết kế đằng sau nó, và cho rằng hai tính năng khác là Claude Code Remote Control và Claude Cowork sessions cũng cho phép tiện ích thực hiện cuộc tấn công tương tự. Bài viết của họ chưa có thử nghiệm với các tính năng này và dự kiến có bài tiếp theo.

Khuyến nghị cho người dùng Dispatch

Trong Claude Desktop, Dispatch là một phần của Cowork và hiển thị ở bảng bên trái. Trang trợ giúp của Dispatch nói người dùng nên biết cách ngắt kết nối hoặc thu hồi quyền truy cập nhanh trước khi bật tính năng, nhưng không giải thích cách làm.

Các nhà nghiên cứu khuyến nghị:

• Tắt Dispatch xuyên thiết bị nếu không cần. Nếu cần, hãy xem lại cách ghép nối, phê duyệt và gỡ thiết bị.
• Đối xử với tiện ích trình duyệt như phần mềm khác trên máy: kiểm tra quyền, kiểm soát những gì được cài và xem lại các bản cập nhật mở rộng quyền truy cập.
• Giám sát hoạt động của AI agent trên máy, gồm cài gói bất thường, thay đổi cài đặt, truy cập thông tin xác thực và kết nối ra ngoài.

Nguồn: The Hacker News