Onderzoekers van Forever Security waarschuwen voor een scenario waarbij malafide browserextensies misbruik kunnen maken van Claude Dispatch om taken door te sluizen naar Claude Desktop. Het gevaar zit niet alleen in het web: Claude Desktop kan op het apparaat van de gebruiker opdrachten uitvoeren. Daarmee krijgt een kwaadwillende mogelijk toegang tot acties die normaal aan de gebruiker zelf zouden moeten worden gekoppeld.
In een test konden de onderzoekers laten zien hoe een script op de claude.ai-pagina Dispatch opende en Claude prompts liet uitvoeren alsof de gebruiker die zelf had ingestuurd. Hoewel de beschreven demonstratie geen echte schade veroorzaakte, laat het wel zien hoe snel een combinatie van webextensie en agentfuncties kan escaleren.
Wat is Claude Dispatch en waarom is het gevoelig?
Claude Desktop is een AI-agent die commando’s kan uitvoeren op de computer waarop de app draait. Dispatch is daarbij een functie waarmee mensen taken kunnen versturen vanaf hun telefoon naar Claude Desktop. In de praktijk ontstaat zo een brug tussen de webomgeving (claude.ai) en de desktopagent.
De onderzoekers stellen dat Dispatch in hun test accepteerde dat een gebruiker “gewone” aangemelde sessies op claude.ai gebruikt—zonder dat de website daar een duidelijke link naar toonde. Daardoor kon een extensie die scripts op de claude.ai-pagina kon draaien instructies aan Claude Desktop sturen alsof de gebruiker ze had gedaan.
Hoe malafide browserextensies de verbinding kunnen omzeilen
Volgens de technische analyse heeft de aanval twee voorwaarden nodig:
- Een browserextensie die op claude.ai scripts kan uitvoeren (kwaadwillend of via een gecompromitteerde legitieme extensie).
- Een gebruiker die tegelijk ingelogd is op claude.ai én Claude Desktop heeft met Dispatch ingeschakeld.
Dispatch werkt daarbij niet “altijd op de achtergrond”. Het vereist dat het systeem wakker is en dat de desktopapp open staat. Dat maakt het een minder breed inzetbaar risico, maar het is nog steeds genoeg voor een aanval zodra de voorwaarden kloppen.
In hun proef op dezelfde computer zetten de onderzoekers een script in op de claude.ai-pagina. Dat script opende Dispatch en stuurde vier prompts naar Claude. De prompts vroegen Claude om een npm-package te installeren.
Goedkeuring lijkt veilig, maar kan toch worden omzeild
Claude vroeg aanvankelijk om bevestiging voor het installeren van een onbekend pakket. De truc zat in de manier waarop de onderzoekers de goedkeuringsstap beïnvloedden: de goedkeuringsprompt werd zichtbaar in de webcontext die door de extensie werd aangestuurd. Het script klikte vervolgens herhaaldelijk op de knop “Allow”, zodat er geen menselijke oplettendheid nodig was.
De onderzoekers benadrukken dat er in principe toestemming wordt gevraagd voordat er acties worden uitgevoerd. In dit scenario “verschuift” die toestemming echter naar een plek waar een extensie controle kan uitoefenen.
Wat deed Claude vervolgens op de computer?
Na de goedkeuring voerde Claude een globale npm-installatie uit. De installatiescript van de gekozen package opende in de test de Calculator-app. In de analyse wordt duidelijk gemaakt dat een vergelijkbare stap óók gericht kan zijn op zwaardere gevolgen, zoals het stelen van bestanden of het installeren van een achterdeur—mits de agent voldoende rechten heeft op de computer.
Het kernpunt voor security-teams: als een AI-agent geautoriseerd is om op het endpoint te handelen, kan de aanval niet beperken tot de browserlaag. De impact verplaatst zich naar het apparaat zelf.
Niet alleen dezelfde computer: ook cross-device is mogelijk
De onderzoekers geven aan dat Dispatch apparaten verbindt. Daardoor kan een extensie niet per se alleen Claude Desktop op hetzelfde toestel bereiken. Wanneer iemand op meerdere computers met dezelfde Claude-account Dispatch heeft ingeschakeld, kan de extensie—in theorie—ook instructies doormappen naar Claude Desktop op een ander systeem.
In de write-up wordt dit scenario beschreven, maar niet met een uitgewerkte test. Wel melden de onderzoekers dat zij in omgevingen bij klanten persoonlijke Claude-accounts hebben gezien met cross-device Dispatch ingeschakeld op werkcomputers.
Daarnaast kan hetzelfde account ook een koppeling leggen tussen bijvoorbeeld een thuissysteem en een werklaptop, als Dispatch op beide apparaten actief is. Voor organisaties betekent dit dat “account-hygiëne” en device-instellingen samen moeten worden bekeken.
Status en mitigatie: Dispatch wordt uitgefaseerd
Volgens de onderzoekers heeft Anthropic, het bedrijf achter Claude, op 13 oktober aangegeven dat Dispatch zou worden retired. Als einddatum werd daarbij eind oktober genoemd. Tegelijkertijd wijzen de onderzoekers erop dat de Dispatch-help pagina op dat moment nog geen duidelijke melding over die retirement bevatte.
Op die pagina staat wel dat Dispatch is gesloten voor nieuwe gebruikers. Bestaande gebruikers op bepaalde Pro-, Max- en Ultra-plannen kunnen volgens de pagina “voor nu” blijven gebruiken.
Belangrijk: de onderzoekers stellen dat niet alleen Dispatch wordt uitgefaseerd, maar dat de onderliggende ontwerpkeuzes niet verdwijnen. Ze benoemen daarbij twee Claude-functies die vergelijkbare routes zouden kunnen bieden voor misbruik door extensies: Claude Code Remote Control en Claude Cowork sessions. Hun analyse bevat nog geen test van die alternatieven; ze plannen een vervolgpost.
Wat kunnen gebruikers en teams nu doen?
Voor defenders is het risico vooral een combinatie van extensie-veiligheid en agentgedrag. De onderzoekers geven praktische aanbevelingen die je meteen kunt toepassen:
- Schakel cross-device Dispatch uit als je het niet nodig hebt. Als je het wél gebruikt, review dan hoe apparaten zijn gepaird, goedgekeurd en weer verwijderd.
- Behandel browserextensies als reguliere software: check permissions, controleer welke installatie er gebeurt en houd updates in de gaten.
- Monitor wat AI-agents doen op het computer: let op onverwachte package-installaties, wijzigingen in instellingen, toegang tot credentials en externe connecties.
Ook bij het uitfaseren van een functie is dit een waardevolle boodschap: verwacht dat functionaliteit verandert, maar dat de aanvalsidee (webcontext → agentgedrag op het endpoint) kan terugkomen in nieuwe varianten.
Waarom dit onderwerp bredere impact heeft
Dit incident illustreert hoe moderne aanvallen niet stoppen bij één laag. Een browserextensie kan klein lijken, maar kan—bij een gekoppelde agent—zware gevolgen op een endpoint veroorzaken. Dat maakt het onderwerp relevant voor security teams die werken met AI-tools, RPA-achtige agents of automatisering met toestemming.
De boodschap voor organisaties is helder: beperk niet alleen de webattack surface, maar bouw ook controle in rond wat een agent mag installeren, uitvoeren en veranderen. Combineer dat met snelle intrekkingsmogelijkheden van toegangen zodra je onverwacht gedrag ziet.
Verder lezen
Als je meer wilt weten over hoe blootstelling en patchvertraging risico’s kunnen versterken, bekijk dan ook: dreiging en patchvertraging in 2026. Daarnaast is het nuttig om te kijken naar voorbeelden van aanvalspatronen rond agenten en runtime, zoals agent runtime security: waarom één laag niet genoeg is.
Conclusie
De proef van Forever Security laat zien dat malafide browserextensies Claude Dispatch kunnen misbruiken om instructies naar Claude Desktop te sturen. Daarmee kan een aanval via een ogenschijnlijk “browser-only” component overgaan naar echte acties op het endpoint, inclusief software-installatie. Dispatch wordt wel uitgefaseerd, maar de onderzoekers waarschuwen dat het onderliggende ontwerpidee kan terugkomen in andere Claude-functies. Daarom is een combinatie van extensiecontrole, cross-device inrichting en endpoint-moderatie van AI-acties essentieel.
Bron: https://thehackernews.com/2026/11/malicious-browser-extensions-could-use.html
