Anthropic ignorerar allvarlig säkerhetshåla i Claude

När en AI-assistent lovar sömlös integration mellan mobil, webbläsare och skrivbord finns det ofta ett pris att betala i form av ökad attackyta. För Anthropics Claude-serie har priset nu blivit konkret: en allvarlig säkerhetsbrist som låter angripare köra godtycklig kod på användares datorer, ibland även på maskiner de inte fysiskt sitter vid. Det mest oroande är inte bara felet i sig, utan Anthropics hållning. Företaget har valt att ignorera problemet, vilket lämnar tusentals företag och privatpersoner sårbara för automatiserade attacker via komprometterade webbläsartillägg.

Problemet ligger i funktionen Claude Dispatch, som är designad för att låta användare skicka instruktioner från en enhet till AI-agenten på en annan. Forskaren Gal Weizman från Forever Security upptäckte att gränssnittet för Dispatch var åtkomligt via vanliga webbsessioner på claude.ai. Detta innebär att ett webbläsartillägg – oavsett om det är skadligt från start eller komprometterat via en leverantörskedjeattack – kan stjäla sessionscookies och styra AI-agenten som skulle den legitima användaren.

Vad som hände

Weizman rapporterade sårbarheten, döpt till "ThisBash", till Anthropic i maj 2026. I stället för att patcha koden eller utge en CVE klassificerade Anthropic ärendet som en dubblett av ett annat känt problem och betalade ingen bug bounty [källa]. Företaget meddelade Weizman att de planerade att fasa ut Dispatch i slutet av oktober, men funktionen finns kvar i begränsad beta för vissa Pro-, Max- och Ultra-abonnemang än idag.

Attacker mot denna brist kräver ingen komplex exploit-kod i webbläsaren. Om ett tillägg har åtkomst till claude.ai kan det registrera ett innehållsscript som delar sidans JavaScript-kontext. Skriptet öppnar sedan Dispatch-gränssnittet i en osynlig popup, hämtar session-ID:t för den lokala AI-agenten och börjar skicka kommandon. Genom att använda automatiska "godkänn"-klick på varje varning som dyker upp kan angriparen tvinga agenten att installera skadliga paket eller köra shell-kommandon med full behörighet på operativsystemet.

Teknisk analys

Den tekniska klyftan här är att webbläsaren traditionellt fungerar som en sandlåda, isolerad från filsystemet. Claude Dispatch bryter mot denna princip genom att ge webbsessionen direkt kontroll över en agent som har fysisk åtkomst till hårdvaran. Weizman demonstrerade ett utnyttjande i sex steg där skriptet successivt övertalar AI:n att ignorera säkerhetsvarningar och installera onskade npm-paket med en preinstall.js-hook [källa].

Det som gör detta särskilt farligt är konceptet med "force prompting". Eftersom agenten har möjlighet att fråga efter bekräftelse kan ett skript enkelt automatisera godkännandet genom att klicka på "Tillåt" med korta intervall. Det krävs ingen mänsklig interaktion utöver den initiala installationen av tillägget. Än viktigare är att Dispatch är designat för att fungera över nätverk. Om en användare har samma konto inloggat på både en privat dator och en företagslaptop kan ett ärende startat via webbläsaren på den privata maskinen styra AI-agenten på arbetsdatorn.

Nordisk kontext

För svenska och nordiska företag som snabbt adopterar agentic AI för kodning och automatisering är detta en tyst risk. Många organisationer har ännu inte implementerat strikta riktlinjer för vilka webbläsartillägg som tillåts, eller hur molntjänster med delade sessioner hanteras. Weizman noterade att personliga Claude-konton förekommer i 18–71 procent av de företagsmiljöer hans firma granskat [källa]. I en organisation med 1 233 konto var 255 personliga, vilket skapar direkta broar från privat, potentiellt sämre skyddad hårdvara, in i företagsnätverk.

Utan ett officiellt CVE-nummer eller patch från Anthropic kan IT-säkerhetsteam inte automatiskt upptäcka eller blockera denna risk via vanliga sårbarhetsregistreringar. Företag inom reglerade branscher som finans och vård står inför ett svårt dilemma: antingen avaktivera produktiva AI-verktyg helt, eller acceptera en känd väg för laterala attacker in i deras system. Med EU:s nya AI-act och strängare krav på cybersäkerhet kan denna passivitet från leverantören också få juridiska konsekvenser om incidenter uppstår.

Vad som saknas

En central fråga är varför Anthropic vägrar åtgärda en sårbarhet som de själva erkänner som giltig. Weizman föreslog att webbläsarsessioner skulle behandlas som enheter med lägre behörighet, vilket skulle blockera kommandon som kräver systemåtkomst [källa]. Att kalla problemet för en "dubblett" tyder på att Anthropic ser detta som ett arkitekturellt val snarare än ett kodfel, men det ändrar inte risken för användaren.

Det saknas också transparens kring vilka andra funktioner som delar samma underliggande design. Weizman varnar att sårbarheten lever vidare i Claude Cowork och Claude Code Remote Control, där webbversionen kan åtkomma sessioner startade på skrivbordet [källa]. Utan tydliga vägledningar från Anthropic om hur man isolerar dessa ytor är det nästan omöjligt för företag att veta om deras AI-implementeringar är säkra.

Vad händer härnäst

Trots Anthropics planer att fasa ut Dispatch finns ingen garanti för att funktionen försvinner snart eller att den underliggande sessionshanteringen ändras. För utvecklare och säkerhetsansvariga innebär detta omedelbara åtgärder: granska installerade webbläsartillägg noggrant, särskilt de som har åtkomst till claude.ai, och överväg att inaktivera Dispatch eller liknande delade sessioner tills en tydlig säkerhetsgräns dras mellan webb- och skrivbordsmiljöer.

Industrin ser ett växande antal fall där AI-agenter används som trampolin för attacker, och detta är ett av de mest direkta exemplen. Om Anthropic fortsätter att prioritera funktionalitet framför säkerhetsisolering kommer andra aktörer troligen att ta marknadsandelar genom att erbjuda striktare sandlådemiljöer för sina AI-verktyg.