Un fallo en Claude Dispatch de Anthropic permitía que una extensión de navegador maliciosa ejecutara comandos en una computadora a través de Claude Desktop, incluso si se trataba de una máquina diferente vinculada a la misma cuenta. El investigador Gal Weizman, de Forever Security, denominó a esta técnica ThisBash y publicó sus hallazgos el 4 de noviembre de 2026. Anthropic tiene planes de retirar el sistema afectado.

Un fallo en Claude Dispatch de Anthropic permitió que una extensión de navegador maliciosa ejecutara comandos en un ordenador a través de Claude Desktop. Ese ordenador podría ser incluso una máquina diferente que haya iniciado sesión en la misma cuenta de Claude.

El investigador Gal Weizman, de Forever Security, llamó a esta técnica ThisBash y publicó los hallazgos el 4 de noviembre de 2026. Anthropic planea retirar Dispatch, pero el diseño detrás de ello sigue presente en otras funciones de Claude.

Dispatch permite que una persona envíe una tarea desde un teléfono a Claude Desktop, un agente de IA que puede trabajar con archivos locales, aplicaciones y comandos. La página de ayuda de Anthropic indica que la función está en beta limitada y cerrada a nuevos usuarios. La misma página advierte que una instrucción manipulada podría desencadenar acciones difíciles de deshacer.

Los investigadores no encontraron ningún fallo en el enlace teléfono-escritorio en sí. El problema comenzó cuando se accedía al mismo flujo de trabajo desde claude.ai en un navegador, donde una extensión puede ejecutarse junto a la página.

Vulnerabilidad de Claude Dispatch

Claude Desktop es una aplicación de Electron. Eso significa que está construida con la misma interfaz web y API que claude.ai. La versión web solo ocultaba el enlace de Dispatch; nunca bloqueó el acceso a él. Una vez que alguien copiaba la dirección de la página de la aplicación de escritorio, cualquier pestaña del navegador con la sesión iniciada podía abrir Dispatch y enviar solicitudes.

Una extensión con permiso para ejecutar scripts en claude.ai podría hacer lo mismo a través de las propias cookies del usuario. En la prueba de concepto, el script abrió Dispatch en una pequeña ventana de fondo de 200 por 200 píxeles. Luego solicitó a la API el ID de sesión del agente de escritorio del usuario. Este fue el único rastro visible en pantalla.

Claude dudó al principio cuando se le pidió que instalara un paquete npm desconocido. El script leyó cada respuesta y envió una réplica con la voz del usuario. Forever Security llama a esto "forzado de prompts" (prompt forcing). En una inyección de prompts normal, el texto hostil se oculta dentro de una página o archivo que el modelo lee, y el atacante tiene un solo intento. En el forzado de prompts, el atacante controla todo el chat y puede reformular, insistir y probar nuevos ángulos hasta que el modelo cede.

Cuatro prompts escritos fueron suficientes. Un bucle corto también hacía clic en cualquier botón de "Permitir" una vez por segundo, por lo que ningún humano tuvo que aprobar nada. El paquete se ejecutó entonces y abrió la Calculadora. El equipo señaló que el mismo paso podría haber copiado archivos, añadido claves SSH o plantado una puerta trasera.

Dispatch está diseñado para vincular dispositivos, por lo que el navegador y el escritorio no necesitan estar en el mismo ordenador. Imagina a un empleado que inicia sesión en una cuenta personal de Claude en un portátil del trabajo. Una extensión maliciosa en su navegador doméstico podría entonces enviar órdenes a ese portátil del trabajo. Se ejecutaría junto al código fuente y las claves de la nube. Los investigadores dijeron haber visto cuentas personales con Dispatch entre dispositivos activado en puntos finales corporativos.

Las extensiones son lo suficientemente comunes como para hacer de esto una vía real. LayerX descubrió que el 99% de los usuarios empresariales en su muestra tenían al menos una extensión, y el 53% tenía extensiones con permisos altos o críticos. La investigación previa de Forever Security sobre MaXSS y Spyder mostró cómo los fallos en dos extensiones populares de Chrome, con más de 10 millones de instalaciones entre ambas, podrían permitir que los sitios web actuaran a través de otros sitios. Una extensión maliciosa puede provenir de una instalación fraudulenta, una actualización secuestrada o un error en una herramienta de confianza.

Una extensión maliciosa ya puede leer páginas, robar datos y actuar a través de sesiones iniciadas. Eso es grave. Pero normalmente se queda dentro del navegador. ThisBash cruzó esa línea. El permiso para hablar con un sitio web se convirtió en permiso para ejecutar comandos en el ordenador.

Las solicitudes también parecían reales. Provenían de una sesión real y una cuenta real, con permisos que el usuario había concedido. Eso probaba quién estaba conectado, pero no probaba que el usuario quisiera que se ejecutara un comando. Los investigadores lo plantearon así: una sesión web por sí sola no es prueba de que el usuario haya aprobado una acción en su máquina.

Los investigadores han demostrado que las extensiones dirigen herramientas de IA varias veces este año. Se cubrió BragJack, donde una sola extensión tomó el control de los asistentes integrados de cinco navegadores importantes. Esa historia demuestra que el problema va mucho más allá de un solo proveedor. Cualquier herramienta de IA que confíe en la página en la que reside puede ser dirigida por código que se ejecute en esa página.

Weizman informó del problema a Anthropic el 14 de mayo de 2026. Anthropic confirmó que era válido el 19 de mayo, pero cerró el informe como un duplicado de un problema que ya había encontrado. El 13 de octubre, la empresa dijo que Dispatch sería retirado, con un objetivo a finales de octubre de 2026. Esa fecha ya ha pasado, y no he podido confirmar mediante fuentes públicas que la función haya desaparecido por completo.

La preocupación más amplia es que Claude Code Remote Control y las sesiones de Cowork permiten, por diseño, que la web dirija a un agente local. Los investigadores dicen que las extensiones pueden repetir el mismo truco allí y planean una publicación de seguimiento. Eliminar una función no elimina la brecha de confianza subyacente.

Empieza por hacer una lista de los agentes de IA en tus puntos finales y las cuentas que utilizan. Comprueba si esas cuentas están bajo el inicio de sesión único (SSO) de la empresa. Desactiva el control remoto entre dispositivos donde no haya una necesidad empresarial y revisa cómo se vinculan y eliminan los dispositivos.

Trata las extensiones como cualquier otro software. Limita quién puede instalarlas, revisa sus permisos y vigila las actualizaciones que soliciten más. Los prompts de aprobación deben ser algo que el componente solicitante no pueda hacer clic por sí mismo. Los equipos también deben estar atentos a instalaciones de paquetes extrañas, cambios de configuración y acceso a credenciales vinculados a la actividad del agente.

Anthropic añadió recientemente una opción beta de monitoreo EDR para Claude Cowork en los planes Team y Enterprise, lo que puede ayudar con este último paso. El hábito más simple es también el más fuerte: mantén tus cuentas personales de IA fuera de los dispositivos de trabajo y mantén las cuentas de trabajo fuera de tus navegadores personales. ThisBash demuestra por qué esa línea es importante.

Fuentes:
https://cybersecuritynews.com/claude-dispatch-vulnerability/