要点
- Claude Desktop の「Dispatch」という機能を通じて、悪質なブラウザ拡張機能が、利用者になりすまして PC にコマンドを実行させうると、セキュリティ会社 Forever Security が報告した。
- 同じ Claude アカウントでつながった別の PC にも届きうるため、私用アカウントを仕事の PC に入れていると、会社の中に入り込まれるおそれがある。
- Anthropic は報告を正当と認めたが、すでに把握している問題の「重複」として閉じた。直す代わりに Dispatch を終える予定だったが、11月5日時点でまだ使える。
何が起きたか
Dispatch は、スマホやブラウザから、PC の Claude Desktop に作業を頼める機能だ。Claude Desktop は、PC のファイルを読み書きしたり、コマンドを動かしたりできる。
Forever Security の研究者 Gal Weizman 氏は、この Dispatch の画面と仕組みが、ふつうにログインした claude.ai のウェブ画面からも使えてしまうことを見つけた。ウェブ版には Dispatch へのリンクがないのに、裏からは届いた。Weizman 氏はこの攻撃を「ThisBash」と名づけた。
Forever Security の報告によると、攻撃が成り立つにはいくつかの前提がある。claude.ai を操れるブラウザ拡張機能が入っていること。そして利用者が claude.ai と Claude Desktop の両方にログインし、Dispatch を有効にしていることだ。ブラウザ自体の欠陥は使わない。拡張機能が claude.ai の画面を勝手に動かし、Claude Desktop に指示を送る。確認のボタンも自動で押し、Claude がためらうと、利用者のふりをして念押しの言葉を送り続ける。研究者は試しに電卓を開かせて、PC 上でプログラムを動かせることを示した。同じ方法で、ファイルを盗む、裏口を仕込む、といったこともできると述べている。
研究者は2026年5月14日に報告した。Anthropic は5月19日に内容を正当と認めたが、社内ですでに見つけていた問題と同じだとして閉じた。The Register によると、報奨金も CVE（欠陥の共通の番号）も出ていない。報告によると、Anthropic は10月13日、Dispatch を10月末をめどに終えると伝えた。ただ、サポートページには今も「一部の Pro・Max・Ultra プランで限定ベータ」とあり、新しい利用者は使えないが、今の利用者は「当面」使い続けられる。The Register は Anthropic に質問したが、回答はなかったという。
日本の利用者への影響
日本での利用の広さや、日本の組織への影響について、手元の資料は何も書いていない。実際に悪用されたかどうかも、報告には書かれていない。
Dispatch の欠陥が当たるのは、Dispatch を有効にした Claude Desktop を使い、かつ、claude.ai を操れる悪質な拡張機能がブラウザに入っている場合だ。ただ、研究者は Cowork や Remote Control でも同じ攻撃ができると見ており、そのため Dispatch をわざわざ有効にしているかどうかの意味は小さくなる、と述べている。注意したいのは、私用アカウントの持ち込みだ。研究者は、顧客の環境で、私用の Claude アカウントが会社の PC で Dispatch を有効にしている例を見たと書いている。The Register によると、調べた6つの組織では、会社の環境で見えた Claude アカウントの18%〜71%が私用だった。
研究者が同じ攻撃ができると主張しているのは、Claude Code の Remote Control（ウェブから手元の Claude Code を操る機能）と Claude Cowork のセッションだ。この点は続報を出す予定だという。Dispatch が終わっても、話が片づくとは限らない。
今すぐやること
- 会社の PC に私用の Claude アカウントでログインしないよう、ルールを決める。今すでに私用アカウントが入っていないかも確かめる。
- ブラウザの拡張機能を見直す。知らないものや使っていないものは外す。会社では、入れてよい拡張機能を決めておく。
- スマホやウェブから PC の Claude を動かす機能は、仕事で使わないなら切っておく。使うなら、つながっている機器と、いざというときの切り方を知っておく。
- Claude Desktop が、頼んでいない作業（ソフトを入れる、外と通信するなど）をしていないか、ときどき目を通す。
Forever Security も報告の中で、AI エージェントとそのアカウントの把握や、拡張機能の管理などを勧めている。
背景
AI エージェントは、利用者の代わりに PC を操作できる。便利な反面、「誰の指示か」の確かめ方が弱いと、ほかの何かが利用者になりすませる。研究者は、ウェブにログインしているというだけでは、利用者がその PC でのコマンドを許した証拠にならない、と指摘している。
ブラウザ拡張機能は、乗っ取りの入り口になりやすい。Weizman 氏は The Register に対し、正規の拡張機能の乗っ取りは、サプライチェーン攻撃や、拡張機能を売り買いする闇の市場を通じて「よく起きる」と話している。研究者が引く LayerX の2025年の報告では、会社の利用者の99%が拡張機能を1つ以上入れ、53%が強い権限の拡張機能を入れていた。
直し方の手本として、Weizman 氏は OpenAI の Codex を挙げる。Codex では、ウェブのセッションから手元のセッションには触れられないという。Claude でも、ウェブ版の Dispatch は権限の弱い別の端末とみなし、コマンドの実行のような操作は許さないのがよい、というのが氏の提案だ。
技術者向けの詳細
- 対象: Claude Desktop の Dispatch（Cowork のサイドパネルから使う機能。Desktop アプリとモバイルアプリが要る）。入り口は claude.ai のログイン済みセッション。
- 研究者の主張では、Claude Code Remote Control と Claude Cowork のセッションでも同じ攻撃ができる（詳細は続報予定）。
- 条件: claude.ai で動けるブラウザ拡張機能（研究者の説明では MAIN world の content script）、claude.ai と Claude Desktop の両方へのログイン、Dispatch の有効化。同じアカウントの別の PC にも届くため、横への広がり（ラテラルムーブメント）になりうる。同じ PC なら、サンドボックスの外に出る形になる。
- CVE は無し。報告は重複として閉じられた。
- 時系列: 2026-05-14 報告、2026-05-19 正当と認めたうえで重複として閉じる、2026-10-13 Anthropic が10月末の Dispatch 終了を伝える、2026-11-05 時点で既存の利用者は引き続き使える。
- 見回る点（研究者の勧めをもとに）:
- 会社の SSO（まとめてログインする仕組み）の外にある Claude アカウントが、会社の PC で動いていないか
- claude.ai に対する権限を持つ拡張機能と、権限が広がった更新
- Claude Desktop の動きの記録に、利用者の頼みと結びつかない操作（npm などでの導入、設定や認証情報への接触、外との通信）がないか
- 確認のボタンを、画面を操れる別のプログラムが押せてしまう作りになっていないか（今回はこれで確認が意味をなさなくなった）
- Anthropic のサポートページも、Dispatch を有効にする前に、つながる先や届く範囲、切り離し方を確かめるよう注意している。
- 研究者の動画による実証（PoC）と詳しい手順は報告を見てほしい。
