Une extension de navigateur installée sur une machine personnelle peut, selon Forever Security, forcer l’agent Claude Desktop à exécuter des commandes sur le système d’exploitation, ouvrant une porte d’accès potentiellement dangereuse aux données sensibles.

L’enquête menée par Forever Security a révélé que l’interface et l’API de Claude Dispatch – fonctionnalité permettant d’envoyer des tâches depuis le navigateur ou un téléphone vers l’agent Claude Desktop – étaient accessibles via une simple session authentifiée sur claude.ai. En clair, n’importe quelle extension capable de contrôler ce site pouvait soumettre des instructions au programme local comme si elles venaient de l’utilisateur.

Le scénario d’attaque, baptisé ThisBash, ne nécessitait aucun exploit au niveau du navigateur. Les chercheurs ont démontré que quatre invites et des clics automatisés sur les boutons « Autoriser » ont suffi à convaincre Claude d’installer un paquet. Claude, d’abord hésitant, a été poussé à l’action grâce à ce que les chercheurs appellent du « prompt forcing », simulant la réassurance de la voix de l’utilisateur.

Cette démonstration concrète, où l’installation d’un paquet menait à l’ouverture de l’application Calculatrice, prouve que le risque va au-delà de la simple lecture de pages web. Il touche à la capacité de l’interface web à devenir un vecteur d’exécution de code sur la machine hôte. Et ce n’est pas tout, car Dispatch permet de connecter plusieurs appareils.

Le danger s’amplifie lorsqu’on envisage l’environnement professionnel. Si un employé utilise son compte personnel Claude sur un ordinateur de l’entreprise, une extension malveillante sur son navigateur domestique peut potentiellement cibler l’endpoint d’entreprise, où résident du code source ou des identifiants cloud. Ce mécanisme transforme un compromis apparemment mineur en un vecteur d’accès initial à des actifs critiques de l’organisation.

Il faut admettre que ce problème ne se limite pas à Claude Dispatch. Les chercheurs insistent sur une faille architecturale plus large : le simple fait d’être connecté à un service web ne prouve pas que l’utilisateur a autorisé une commande sur sa propre machine. Ce modèle de confiance est partagé par d’autres fonctionnalités de l’IA, notamment Claude Code Remote Control et Claude Cowork session, qui permettent déjà de piloter un agent local depuis le web.

Anthropic a été notifiée de cette vulnérabilité le 14 mai 2026 et l’a validée. L’entreprise a annoncé le retrait de Dispatch, visant fin octobre 2026, mais les chercheurs soulignent que le défaut reste exploitable jusqu’à cette date.

Ce type de risque n’est pas isolé. Des analyses plus larges, comme celles menées par DevOps.com, montrent que des vulnérabilités similaires existent dans des assistants de codage embarqués, touchant des outils comme Cursor et Copilot, permettant de voler des identifiants ou d’accéder à des fichiers locaux via des pages malveillantes.

Cette situation rappelle une autre attaque récente, celle ciblant les utilisateurs de Cursor en octobre 2026. Des versions altérées de l’extension Claude Code, publiées dans le marketplace de Cursor, ont tenté d’établir des tunnels SSH inverses pour collecter des informations sur l’hôte. Bien qu’Anthropic ait rapidement corrigé la situation en publiant une version officielle 2.1.314 et que Cursor ait retiré les versions piratées, cela illustre la fragilité de la chaîne d’approvisionnement des extensions IA.

Face à ce constat, les experts recommandent de désactiver le partage inter-appareils de Dispatch si non nécessaire, et de traiter les extensions comme tout autre logiciel potentiellement risqué, en scrutant les permissions et les mises à jour.

Sources

• ThisBash Escape: Claude Dispatch Flaw Enables Browser Extensions RCE on the OS · Forever Security, forever.security
• Malicious Browser Extensions Could Use Claude Dispatch to Run Code on Users’ Computers, The Hacker News, 6 novembre 2026
• AI Coding Assistants’ Built-In Browsers Open a Path to Developer Secrets, DevOps.com, 2 novembre 2026
• Malicious Claude Code Extension Served in Cursor Supply Chain Attack, SecurityWeek, 2 novembre 2026