Faille Claude Dispatch : une extension de navigateur peut faire exécuter du code à Claude Desktop

La faille Claude Dispatch permet à une extension de navigateur malveillante de faire exécuter du code à l’application Claude Desktop d’un utilisateur, sans exploiter de faille du navigateur. Le chercheur Gal Weizman, de Forever Security, l’a décrite le 6 novembre 2026, d’après The Hacker News. Elle serait encore exploitable, selon lui, et les informations sur la position d’Anthropic diffèrent selon les sources.

Aucune exploitation réelle n’a été signalée à ce jour, selon Daily Security Review, et aucun CVE n’a été attribué. Voici le fonctionnement de l’attaque, ce qui est établi sur le correctif et ce que vous pouvez faire.

Comment fonctionne la faille Claude Dispatch ?

Dispatch est une fonction qui envoie des tâches depuis un téléphone vers Claude Desktop. D’après Forever Security, citée par The Hacker News, Dispatch acceptait une session ordinaire connectée à claude.ai, alors que le site n’y menait pas. Une extension capable d’exécuter des scripts sur claude.ai pouvait donc envoyer des instructions à Claude Desktop comme si l’utilisateur les avait tapées.

Dans la démonstration, le script a demandé à Claude d’installer un paquet npm et a cliqué sur les boutons d’autorisation à intervalle régulier, jusqu’à ce que le script d’installation ouvre la Calculatrice. Les chercheurs estiment que le même accès permettrait de voler des fichiers ou d’installer une porte dérobée. Le nom « ThisBash » est donné à l’attaque par AI Weekly et Magica, et non par The Hacker News.

Quelles conditions pour exploiter la faille Claude Dispatch ?

Il faut trois éléments : une extension qui peut exécuter des scripts sur claude.ai, un utilisateur connecté à claude.ai et une application Claude Desktop avec Dispatch activé. L’ordinateur doit aussi être allumé et l’application ouverte, selon The Hacker News. Le risque ne dépend pas d’un défaut du navigateur, mais de la confiance accordée à une session web déjà authentifiée.

Le point qui inquiète le plus Weizman, d’après AI Weekly, est le lien avec le cloud : une session claude.ai compromise pourrait envoyer des commandes à un Claude Desktop situé sur une autre machine, voire dans un autre périmètre, par exemple un poste professionnel relié au même compte. The Hacker News qualifie ce scénario de décrit mais non démontré.

Anthropic a-t-elle corrigé la faille Claude Dispatch ?

Aucun correctif n’est confirmé à ce jour. Selon The Hacker News, Weizman a signalé la faille le 14 mai et Anthropic l’a acceptée le 19 mai, avant de la clore comme doublon d’un problème interne. AI Weekly, qui reprend un article de The Register, ajoute qu’Anthropic n’a versé aucune prime ni attribué de CVE, et qu’elle a indiqué vouloir retirer Dispatch fin octobre 2026.

• Statut de la faille : « corrigée » nulle part. Daily Security Review écrit qu’Anthropic n’avait pas encore agi pour la clore au 5 novembre, alors que The Hacker News et AI Weekly parlent d’un signalement clos comme doublon.
• Refus de corriger : des titres parlent d’un refus, mais Tech Insider rappelle que cette affirmation est rapportée, pas confirmée de façon indépendante, et qu’aucune déclaration officielle d’Anthropic n’a été trouvée.
• Retrait de Dispatch : The Hacker News dit que la page d’aide ne mentionne pas de retrait et indique seulement que la fonction est fermée aux nouveaux utilisateurs. Selon Let’s Data Science, elle était encore en bêta limitée au 30 octobre pour certains forfaits Pro, Max et Ultra.
• Réponse d’Anthropic : l’entreprise n’a pas répondu aux questions de The Register, d’après Let’s Data Science. Nous n’avons pas sa version.

Les autres fonctions de Claude concernées

Selon les chercheurs, Claude Code Remote Control et les sessions Claude Cowork pourraient permettre la même attaque, mais ils ne les ont pas testés, d’après The Hacker News. Weizman estime aussi que retirer Dispatch ne supprimerait pas le défaut de conception de fond, comme le rapporte Let’s Data Science. Magica ne nomme aucune autre fonction affectée et précise que la démonstration ne dit rien sur la sécurité de Cowork en cloud.

Notre analyse : le vrai sujet est la confiance dans une session web

Cette section est notre analyse. Le problème ressemble moins à un bogue isolé qu’à une question de principe : quand un agent peut exécuter des commandes sur votre machine, tout ce qui peut lui parler (session web, extension, appareil jumelé) devient une porte d’entrée. L’attaque exige une extension malveillante ou compromise, un prérequis réaliste, car Weizman rappelle que les détournements d’extensions « arrivent souvent », par compromission de la chaîne d’approvisionnement ou rachat d’extensions légitimes.

Nous avions déjà vu ce schéma dans notre article sur l’exécution de Claude Code sans sandbox avec Docker sbx : limiter ce qu’un agent peut faire est plus fiable que de compter sur la confiance du poste.

Que faire pour se protéger de la faille Claude Dispatch ?

Réduisez ce qui peut atteindre votre agent. Les chercheurs recommandent, d’après The Hacker News, de désactiver Dispatch entre appareils si vous n’en avez pas besoin, de vérifier les permissions et les mises à jour des extensions et de surveiller l’activité de l’agent. Voici les mesures concrètes :

1. Désactivez Dispatch et la commande à distance si vous ne les utilisez pas. Sur un espace géré, gardez Remote Control désactivé sans besoin métier, selon Tech Insider.
2. Faites le tri dans vos extensions : supprimez celles que vous n’utilisez plus, vérifiez leurs permissions sur claude.ai et leurs mises à jour récentes.
3. Séparez les usages : utilisez un profil de navigateur dédié, sans extensions, pour claude.ai.
4. Ne validez pas automatiquement les demandes d’autorisation, et surveillez les installations de paquets ou les accès aux identifiants que vous n’avez pas demandés.
5. Limitez les secrets dans l’environnement de l’agent (clés de production, jetons) et passez par un bac à sable quand c’est possible.

Questions fréquentes sur la faille Claude Dispatch