米エンドポイントセキュリティ企業Forever Securityの研究者が、AnthropicのAI「Claude」のパソコン用アプリ（Claude Desktop）に対して、ブラウザの拡張機能から本人になりすまして指示を送り、パソコン上でプログラムを実行させられることを実験で示しました。悪用の入り口になったのは、スマートフォンからパソコンのClaudeに作業を頼める「Dispatch（ディスパッチ）」という機能です。研究者によると、この弱点は現時点でもまだ悪用できる状態だといいます。なお、実際の攻撃は確認されていません。
Claude Desktopは、利用者の代わりにパソコン上でコマンドを実行できる「AIエージェント」です。研究者は、Dispatchが本来の使い方とは別に、ブラウザでClaudeのWebサイト（claude.ai）にログインしているだけの状態からも指示を受け付けてしまうことを突き止めました。つまり、claude.ai上でスクリプトを動かせる拡張機能があれば、利用者が送ったように見せかけてClaudeに命令できてしまうのです。実験では、Claudeに見知らぬプログラム部品（npmパッケージ）のインストールを指示し、Claudeが一度ためらっても「本人」を装った追加メッセージで押し切りました。さらに、Claudeが実行前に表示する「許可しますか？」の確認ボタンも、拡張機能が自動でクリックし続けたため、利用者が画面を見ていなくても処理が進みました。
実験では無害な電卓アプリを起動しただけでしたが、研究者は「同じ手順でファイルを盗んだり、裏口（バックドア）を仕込んだりすることもできた」と指摘しています。また、Dispatchは複数の端末をつなぐ機能のため、同じアカウントでログインしている別のパソコンにも影響が及びうるとしています。個人のClaudeアカウントを自宅のPCと会社のノートPCの両方で使っている場合、家庭のブラウザから仕事用PCへ攻撃が届く可能性もあるということです。こうしたセキュリティホールは、ブラウザそのものの欠陥を突く必要がない点でも注目されます。
研究者は5月にAnthropicへ報告し、同社は問題を認めたうえで「社内で既に把握していた問題と重複する」として扱ったとされます。研究者によれば、Anthropicは10月にDispatchを廃止する方針を伝えていましたが、現在のヘルプページでは「新規利用は受け付けていないが、既存の一部有料プランの利用者は当面使い続けられる」との記載にとどまっています。研究者は、同様の仕組みを持つ別の機能（Claude CodeのRemote Control、Coworkのセッション）でも同じ手口が通用しうると主張しており、続報を予定しています。
利用者ができる対策としては、まず「端末をまたいでDispatchを使う必要がなければオフにする」ことが挙げられます。使う場合も、どの端末が連携・承認されているかを定期的に見直しましょう。ブラウザの拡張機能は「パソコンにインストールするソフトと同じもの」と考え、本当に必要なものだけを入れ、どのサイトで何ができる権限を持っているかを確認することが大切です。正規の拡張機能でも、乗っ取られたアップデートで突然悪さをし始める例があります。AIエージェントに大きな権限を任せる時代には、「AIが勝手に何かをインストールしていないか」に目を配ることも新しい習慣になりそうです。