Un fallo de seguridad en Claude Dispatch, la función que permite enviar instrucciones desde el móvil o el navegador a Claude Desktop, permitía que una extensión de navegador maliciosa ejecutara código en el sistema operativo a través del agente de escritorio, incluso en un ordenador distinto al que albergaba la extensión.
El investigador Gal Weizman, de Forever Security, documentó la vulnerabilidad, bautizada como ThisBash, y la reportó a Anthropic el 14 de mayo de 2026. La compañía la reconoció como válida y anunció la retirada de Dispatch para finales de octubre. Sin embargo, el patrón de diseño que la hizo posible sigue presente en otras funciones del ecosistema Claude.
¿Qué es Claude Dispatch y por qué era vulnerable?
Claude Dispatch permitía a los usuarios enviar trabajo desde su teléfono o navegador a Claude Desktop, un agente que ejecuta comandos en el ordenador. La lógica del producto es sencilla: el usuario está fuera de casa, envía una instrucción desde el móvil y el agente la ejecuta en el equipo de sobremesa.
El problema residía en que la interfaz y la API de Dispatch, aunque no aparecían en la versión web de Claude, eran accesibles desde una sesión autenticada normal en claude.ai. Claude Desktop es una aplicación Electron construida sobre la misma interfaz web y la misma API. La versión web simplemente ocultaba el enlace a Dispatch, pero no restringía el acceso al servicio.
Eso significaba que cualquier extensión de navegador con permisos suficientes para controlar claude.ai podía extraer la URL de Dispatch, abrirla en una pestaña normal y enviar instrucciones al agente de escritorio como si procedieran del usuario.
La cadena de ataque
El investigador demostró el ataque con cuatro prompts enviados de forma secuencial y clics automatizados en los botones de aprobación de la interfaz web.
Claude se mostró inicialmente reticente a instalar un paquete desconocido. Pero el atacante controlaba el canal de entrada y podía leer las respuestas del agente. Eso le permitió enviar un mensaje de seguimiento que aportaba la tranquilidad necesaria, en la voz del usuario, para que la instalación procediera. El paquete abrió la calculadora, demostrando ejecución de código local sin explotar el navegador y sin interacción adicional del usuario.
El investigador denomina a esta técnica prompt forcing. A diferencia de la inyección de prompts indirecta, en la que el atacante oculta instrucciones en un documento o página que el modelo lee, aquí el atacante escribe directamente en el compositor de la conversación y se comunica a través del canal que Claude trata como si fuera el usuario.
El alcance del ataque
La gravedad del fallo depende de qué ordenador pueda controlar la sesión de navegador comprometida a través de Dispatch. El equipo de destino no tiene que estar en la misma máquina que el navegador.
**En la misma máquina*
El acceso del navegador se convierte en ejecución local. Una extensión con acceso a claude.ai puede dirigir el agente de escritorio y ejecutar comandos con los permisos de Claude.
Entre máquinas
Dispatch está diseñado para enviar trabajo entre dispositivos. Si la sesión comprometida puede alcanzar un escritorio conectado en otro ordenador, la extensión puede emitir instrucciones desde una máquina mientras el agente las ejecuta en otra.
Entre dispositivos personales y corporativos
El escenario más preocupante. Un empleado que utiliza una cuenta personal de Claude en el navegador de su casa y en Claude Desktop en su portátil de trabajo. Si Dispatch está activado y el escritorio corporativo está disponible, una extensión maliciosa en el ordenador personal puede convertirse en un punto de entrada al equipo gestionado por la empresa.
Los investigadores han observado cuentas personales de Claude con Dispatch activado en puntos finales corporativos en entornos de clientes. Eso convierte la identidad de la cuenta y el emparejamiento de dispositivos en parte de la superficie de ataque.
¿Por qué las extensiones del navegador son un vector relevante?
El informe de seguridad de navegador de LayerX de 2025 encontró que el 99% de los usuarios empresariales de su población observada tenían al menos una extensión instalada, y el 53% tenían extensiones con permisos altos o críticos.
Las investigaciones MaXSS y Spyder de Forever Security demostraron cómo vulnerabilidades en extensiones legítimas podían permitir que sitios web controlados por atacantes actuaran en otros sitios. Las extensiones afectadas sumaban más de diez millones de instalaciones en el momento de la divulgación.
Una extensión maliciosa puede llegar por instalación deliberada, por una actualización comprometida o por una vulnerabilidad en una herramienta legítima. Si ese acceso proporciona el control sobre claude.ai que requiere ThisBash, puede convertirse en el primer paso hacia la ejecución en un escritorio conectado.
Lo que un atacante podría hacer con este acceso
El investigador abrió una calculadora para demostrar la ejecución de código. Un atacante real explotaría la capacidad subyacente para ejecutar comandos dañinos:
- Leer archivos: código fuente, claves privadas, credenciales almacenadas o documentos sensibles del escritorio.
- Modificar código: insertar cambios maliciosos en el código que está a punto de enviarse a producción.
- Instalar software persistente: programas que sobreviven a un reinicio y siguen ejecutándose sin Claude.
- Actuar con las cuentas del usuario: usar credenciales o sesiones autenticadas para acceder a repositorios, servicios en la nube o correo electrónico.
- Cifrar o eliminar archivos: convertir la ejecución local en pérdida de datos o interrupción del servicio.
¿Por qué esto va más allá de una extensión maliciosa?
Una extensión maliciosa puede causar daños graves por sí sola: leer páginas sensibles, alterar lo que ve el usuario y actuar a través de sus sesiones web. Pero está limitada al navegador. Controlar una página web no otorga automáticamente la capacidad de ejecutar comandos en la máquina del usuario.
ThisBash cruzó esa frontera. La extensión utilizó su acceso a claude.ai para alcanzar Dispatch y provocar la ejecución de un comando local a través de Claude Desktop. El acceso al sitio web se convirtió en una vía hacia la ejecución en el escritorio.
La vulnerabilidad residía en la conexión entre esos dos niveles de acceso. El permiso para interactuar con claude.ai no debería autorizar comandos en la máquina local por sí mismo.
El ataque utilizó una sesión real, una cuenta real y permisos que el usuario había concedido. Eso hizo que las solicitudes web fueran válidas, pero no estableció que el usuario hubiera pedido o aprobado el comando local.
El diseño que persiste más allá de Dispatch
Anthropic está retirando Dispatch, pero el patrón de diseño que lo hizo vulnerable sigue presente en otras funciones. Claude Code Remote Control y Claude Cowork session permiten que la web dirija un agente local por diseño. Eliminar una función no resuelve el problema de fondo.
El investigador advierte de que la causa raíz va más allá de Dispatch: una sesión web autenticada no es, por sí misma, evidencia de que el usuario haya autorizado un comando en su máquina. Sin embargo, esa es la confianza sobre la que opera la arquitectura conectada de Claude, y la comparten otras funciones.
Lo que esto significa para las organizaciones
A medida que los asistentes de IA se convierten en suites conectadas que abarcan sitios web, aplicaciones de escritorio, herramientas de programación, dispositivos móviles y extensiones de navegador, las fronteras entre componentes con privilegios muy distintos se vuelven críticas.
Un empleado que inicia sesión con su cuenta personal de Claude en un portátil de trabajo, mientras una extensión maliciosa en el navegador de su casa tiene acceso a esa misma cuenta, puede estar exponiendo el punto final corporativo sin saberlo. La gobernanza de extensiones y agentes de IA ya forma parte de la seguridad de los puntos finales.
Lo que falta por confirmar
Anthropic ha confirmado la retirada de Dispatch, pero no ha detallado si las otras funciones afectadas por el mismo patrón de diseño recibirán cambios. Tampoco ha especificado si los usuarios que utilizaron Dispatch durante el periodo de exposición sufrieron algún tipo de compromiso.
Descubre más desde CIBERED
Suscríbete y recibe las últimas entradas en tu correo electrónico.
