Tarayıcı eklentileri Claude Dispatch üzerinden bilgisayarda komut çalıştırabiliyor

Güvenlik şirketi Forever Security’den Gal Weizman, 4 Kasım’da yayımladığı yazıda, Claude Desktop’ın Dispatch özelliğinde, claude.ai’ı kontrol edebilen bir tarayıcı eklentisinin kullanıcının bilgisayarında komut çalıştırmasına izin veren bir sorun bulduğunu açıkladı. Dispatch, kullanıcının telefondan ya da tarayıcıdan Claude Desktop’a iş göndermesini sağlıyor. Claude Desktop ise bilgisayarda komut çalıştırabilen bir yapay zekâ ajanı.

Sorunun işleyişi

Weizman’a göre Dispatch arayüzü ve API’si, oturum açılmış sıradan bir claude.ai oturumundan erişilebiliyordu. claude.ai’ın web sürümü Dispatch bağlantısını göstermiyordu, ancak erişimi de kısıtlamıyordu. Araştırmacıya göre Claude Desktop, claude.ai ile büyük ölçüde aynı web arayüzü ve API üzerine kurulu bir Electron uygulaması. Bu yüzden claude.ai sayfasını kontrol edebilen bir tarayıcı eklentisi, Claude Desktop’a komutları kullanıcıdan geliyormuş gibi gönderebiliyordu. Aynı Claude hesabıyla giriş yapılmış başka bir bilgisayardaki Claude Desktop’a da komut gönderilebiliyordu.

Araştırmacının kavram kanıtında eklenti, elle yazılmış dört istem gönderdi ve onay için çıkan “Allow” düğmelerine otomatik olarak tıkladı. Weizman’a göre Claude bilinmeyen bir paketi kurmakta önce tereddüt etti, ancak kullanıcının ağzından yazılmış bir güvenceyle paketi kurdu ve paket bilgisayarda Hesap Makinesi’ni açtı. Araştırmacıya göre bunun için tarayıcıda bir açık kullanılması gerekmedi.

Weizman’a göre sorun aynı bilgisayarda korumalı alandan (sandbox) çıkmaya, iki bilgisayar arasında ise makineler arası uzaktan kod çalıştırmaya yol açıyor. Kişisel bir Claude hesabı iş bilgisayarında da açıksa saldırı kurumun ağına uzanabiliyor. Şirket, müşteri ortamlarında kurumsal cihazlarda cihazlar arası Dispatch’i açık kişisel Claude hesapları gördüğünü belirtiyor. Araştırmacı, mobil uygulama ile masaüstü uygulaması arasındaki eşler arası (peer-to-peer) bağlantıda bir kusur bulmadığını yazıyor.

Weizman’a göre kök neden, kimliği doğrulanmış bir web oturumunun, kullanıcının kendi bilgisayarında bir komutu onayladığının kanıtı sayılması. Araştırmacı, Claude Code Remote Control ve Claude Cowork oturumlarında da aynı saldırıya izin veren bir desen bulunduğunu ve ayrıntıları sonraki bir yazıda paylaşacağını belirtiyor.

Bildirim süreci

Forever Security’ye göre:

• 14 Mayıs’ta sorun Anthropic’e bildirildi.
• 19 Mayıs’ta Anthropic bulguların geçerli olduğunu kabul etti, ancak bildirimi kendi bulduğu bir sorunun kopyası olarak kapattı.
• 13 Ekim’de Anthropic, Dispatch’in emekliye ayrılacağını ve hedefin Ekim sonu olduğunu söyledi.

Şirkete göre Dispatch emekliye ayrılana kadar sorun istismar edilebilir durumda. Anthropic’in Dispatch yardım sayfası 7 Kasım’da kontrol edildiğinde Dispatch’in bazı Pro, Max ve Ultra planlarında sınırlı beta olarak sunulduğunu, yeni kullanıcılara açık olmadığını ve mevcut kullanıcıların şimdilik kullanmaya devam edebileceğini belirtiyordu. The Hacker News’e göre sayfa emekliye ayırmadan söz etmiyor.

Önerilen önlemler

Weizman kurumlara şunları öneriyor:

• Kullanılan yapay zekâ ajanlarının ve bu ajanların kullandığı kimliklerin envanterini çıkarın.
• Gerekmiyorsa cihazlar arası Dispatch’i kapatın.
• Tarayıcı eklentilerini uç noktalara kurulan yazılımlar gibi yönetin.
• Onay mekanizmalarını otomasyona karşı koruyun ve ajanların gerçekte ne yaptığını izleyin.