Sebuah ekstensi browser yang memiliki izin menjalankan skrip pada domain claude.ai berpotensi memicu aplikasi Claude Desktop mengeksekusi kode langsung di komputer pengguna, menurut hasil pengujian para peneliti dari Forever Security, sebuah perusahaan keamanan endpoint.

Metode serangan tersebut memanfaatkan Dispatch, sebuah fitur Claude yang dirancang agar pengguna dapat meneruskan berbagai tugas dari ponsel pintar ke Claude Desktop. Celah keamanan yang memungkinkan skenario ini masih tetap dapat dieksploitasi hingga saat ini, demikian diungkapkan para peneliti awal pekan ini.

Claude Desktop sendiri berfungsi layaknya agen kecerdasan buatan yang sanggup mengeksekusi aneka perintah sistem pada komputer tempat aplikasi terpasang. Tim peneliti mendapati bahwa Dispatch tetap menerima sesi login standar pada claude.ai, situs web resmi Claude, sekalipun antarmuka web tersebut tidak menampilkan tautan langsung ke sana. Kondisi tersebut memungkinkan sebuah ekstensi yang berjalan pada situs web untuk mengirimkan instruksi tersembunyi ke Claude Desktop seolah-olah instruksi itu berasal dari pemilik akun asli.

Berdasarkan keterangan para peneliti, Anthropic selaku pengembang Claude telah memberi tahu mereka pada 13 Oktober bahwa fitur Dispatch segera dipensiunkan, dengan tenggat waktu akhir Oktober. Kendati demikian, halaman pusat bantuan Dispatch yang baru diperbarui akhir pekan lalu sama sekali tidak mencantumkan rencana penghentian layanan tersebut.

Halaman tersebut hanya menyebutkan bahwa Dispatch saat ini ditutup bagi pendaftar baru, sementara pengguna lama pada paket Pro, Max, dan Ultra tertentu masih “dapat terus menggunakannya untuk saat ini.”

Cara Kerja Serangan

Eksploitasi celah ini memerlukan dua prasyarat utama, sebagaimana dijelaskan dalam laporan teknis yang disusun oleh Gal Weizman, peneliti Forever Security: adanya ekstensi yang berwenang mengeksekusi skrip di claude.ai, serta pengguna yang tengah masuk log ke claude.ai sekaligus Claude Desktop dengan fitur Dispatch aktif.

Ekstensi tersebut bisa berupa perangkat lunak berbahaya, ekstensi resmi yang pembaruannya telah disusupi peretas, ataupun ekstensi sah yang mengandung celah keamanan bawaan. Fitur Dispatch itu sendiri hanya berfungsi ketika komputer menyala serta aplikasi desktop sedang berjalan aktif.

Dalam simulasi pengujian yang dilakukan, skrip yang terpasang pada halaman claude.ai pengguna membuka Dispatch lalu mengirimkan empat instruksi kepada Claude seakan-akan perintah tersebut ditulis oleh pengguna. Rangkaian instruksi tersebut memerintahkan Claude untuk memasang sebuah paket modul npm tertentu.

Pada awalnya Claude sempat ragu memproses paket yang belum dikenal tersebut, tetapi sebuah pesan susulan yang dirancang meniru gaya penulisan pengguna berhasil membujuk sistem untuk melanjutkan proses instalasi.

Claude sejatinya selalu meminta konfirmasi persetujuan sebelum mengambil tindakan, namun jendela konfirmasi perizinan tersebut muncul di dalam halaman web yang telah dikendalikan penuh oleh ekstensi. Skrip jahat tersebut secara otomatis menekan tombol “Allow” setiap detik, sehingga serangan dapat berjalan tanpa memerlukan pantauan dari pengguna.

Setelah perizinan disetujui, Claude langsung menjalankan perintah instalasi global npm, dan skrip instalasi paket tersebut berhasil meluncurkan aplikasi Kalkulator pada komputer korban. Serangan ini tidak memerlukan eksploitasi browser khusus. Mengingat luasnya tingkat izin akses yang dimiliki Claude pada komputer target, langkah serupa berpotensi disalahgunakan untuk mencuri berkas data penting atau menanamkan backdoor berbahaya, papar tim peneliti.

Pengujian tersebut dijalankan dengan peramban web dan aplikasi Claude Desktop yang berada pada komputer yang sama, dan para peneliti menegaskan belum menemukan indikasi serangan nyata di dunia luar. Karena Dispatch bertugas menyambungkan lintas perangkat, ekstensi tersebut juga dinilai berpeluang menjangkau aplikasi Claude Desktop pada komputer lain yang terhubung dengan akun Claude serupa. Kendati demikian, skenario antar-komputer ini baru sebatas pemaparan teknis dan belum didemonstrasikan dalam uji coba.

Jangkauan koneksi ini berpotensi menghubungkan komputer pribadi di rumah dengan laptop kerja kantor apabila seseorang memakai satu akun pribadi Claude pada kedua perangkat sekaligus dalam keadaan Dispatch aktif. Tim peneliti mengaku telah mengidentifikasi beberapa akun pribadi Claude dengan konfigurasi Dispatch aktif pada komputer kerja milik klien mereka.

Para peneliti sudah melaporkan kerentanan ini kepada pihak Anthropic sejak 14 Mei. Perusahaan tersebut mengonfirmasi validitas laporan pada 19 Mei, namun lekas menutup tiket aduan dengan alasan bahwa temuan tersebut merupakan duplikat dari isu keamanan internal yang telah mereka temukan sebelumnya.

“Anthropic memang memensiunkan Dispatch, tetapi tidak mengubah desain dasar arsitekturnya,” tulis para peneliti dalam laporannya. Mereka menambahkan bahwa dua fitur Claude lainnya, yakni Claude Code Remote Control dan sesi Claude Cowork, turut memungkinkan ekstensi menjalankan skema serangan yang sama. Laporan mereka belum menyertakan pengujian teknis pada kedua fitur tersebut, dan rinciannya akan dibahas dalam tulisan lanjutan mendatang.

Langkah yang Bisa Diambil Pengguna Dispatch

Pada aplikasi Claude Desktop, fitur Dispatch terintegrasi di dalam menu Cowork dan terletak pada bilah panel sisi kiri. Halaman panduan Dispatch menyatakan bahwa pengguna sebaiknya memahami prosedur memutuskan koneksi atau mencabut izin akses secara cepat sebelum mengaktifkannya, meski dokumentasi tersebut sama sekali tidak memaparkan tata caranya.

Guna menghindari risiko eksploitasi, para peneliti menyarankan langkah-langkah penanganan berikut: