Quando a extensão aprova o próprio comando: o problema de confiança do Claude Dispatch

Pesquisadores da Forever Security demonstraram uma cadeia em que uma extensão com execução de scripts em claude.ai envia tarefas ao Claude Desktop por Dispatch e automatiza a aprovação na página.[4] No teste, a instalação de um pacote npm executou seu script e abriu a Calculadora.[4] O resultado concreto é uma demonstração de execução, não evidência de uma campanha em andamento.

O que muda para quem desenvolve

O cenário exige sessões autenticadas no site e no aplicativo, Dispatch habilitado, desktop aberto e computador acordado.[4] A demonstração não precisou de uma vulnerabilidade do navegador: a extensão controlava a página usada para solicitar e aprovar ações.[4] Essa é a fronteira de confiança que merece atenção.

Minha leitura: uma confirmação visual só acrescenta proteção se o componente que solicita a ação não conseguir produzir também a autorização. Caso contrário, o botão pode continuar existindo sem representar uma decisão humana independente. Isso importa para qualquer produto que conecte chat, extensões e execução local.

Como aplicar

Mapeie o fluxo completo de uma ação sensível: quem cria a tarefa, quem mostra o pedido, quem concede a autorização e qual processo executa. Marque os componentes controláveis pela mesma extensão, sessão ou página. Trate esses componentes como uma única zona de confiança durante a revisão.

Para um experimento verificável, construa um simulador que apenas grave um evento inofensivo em memória. Faça uma página solicitar a ação e tente acionar sua confirmação por um script de teste. Se isso bastar, você demonstrou que a confirmação não é independente, sem instalar pacotes desconhecidos nem conceder acesso real ao sistema.

Como recomendação de desenho, reserve operações de maior impacto para uma autorização fora da superfície que recebeu o conteúdo remoto. Mostre escopo, destino e efeito da tarefa. Combine isso com permissões mínimas e possibilidade clara de revogar a conexão.

Cuidados e limites

O teste descrito usou navegador e aplicativo na mesma máquina; alcançar outro computador da conta foi apresentado como possibilidade, não como resultado demonstrado.[4] As alegações sobre risco semelhante em Remote Control e Cowork também não vieram acompanhadas de testes naquele material.[4]

A reportagem registra divergência entre a retirada de Dispatch que teria sido informada aos pesquisadores e a disponibilidade que eles ainda observavam.[4] Não assuma o estado atual do recurso a partir dessa promessa.

Separar canais de autorização aumenta atrito e custo de implementação. Ainda assim, para ações sensíveis, esse custo deve ser comparado com o de uma aprovação que um script consegue conceder sozinho.

Fonte

[4] Fonte: The Hacker News