La IA se resistió, pero finalmente obedeció. La defensa de Claude fue eludida con cuatro mensajes.

Para ejecutar un comando en otro equipo, a un atacante podría bastarle una extensión del navegador con acceso a Claude. Gal Weitzman de Forever Security demostró que el mecanismo Claude Dispatch acepta instrucciones desde una sesión web común y las transmite al agente de IA de escritorio. La vulnerabilidad recibió el nombre ThisBash.

Dispatch está diseñado para trabajar de forma remota con Claude Desktop. El usuario envía una tarea desde el teléfono y el agente la ejecuta en el equipo encendido, accediendo a archivos locales, aplicaciones y servicios conectados. Sin embargo, la interfaz de Dispatch resultó accesible también a través de claude.ai. La ausencia de un enlace en la página ocultaba la posibilidad, pero no impedía las llamadas a su API.

Para la demostración se necesitó una extensión del navegador con permiso para ejecutar scripts en claude.ai. El código malicioso abría una pequeña ventana inactiva de Dispatch, localizaba una sesión de Claude Desktop mediante la API y enviaba solicitudes en nombre del usuario autorizado. No fue necesario hackear el navegador, interceptar la contraseña ni buscar una vulnerabilidad independiente del sistema operativo.

La protección de Claude se alarmó al principio por la instalación de un paquete npm desconocido. El script envió varios mensajes más, convenciendo al agente de continuar, y pulsó automáticamente botones de permiso en la ventana controlada. Tras cuatro solicitudes, Claude instaló el paquete, cuyo script de instalación abrió la calculadora. La ejecución real de código fue confirmada por el experimento; no se mostró robo de datos.

Lo más peligroso es la conexión entre dispositivos personales y laborales. Si un empleado usa la misma cuenta de Claude en el navegador doméstico y en el portátil corporativo, una extensión maliciosa en casa podría potencialmente controlar al agente en la máquina de trabajo. Si el agente accede a archivos y credenciales, podrían producirse el robo de documentos o la instalación de una puerta trasera. Hasta ahora no se han confirmado ataques que sigan el esquema ThisBash.

El escenario requiere una sesión activa en claude.ai, una extensión con acceso al sitio y Claude Desktop abierto con Dispatch activo en el dispositivo objetivo. La aplicación funciona en Windows, macOS y Linux, por lo que el problema no está ligado a un solo sistema operativo. La amenaza no se propaga automáticamente a todos los usuarios de Claude: sin la combinación indicada la cadena demostrada no funciona.

Forever Security notificó a Anthropic el 14 de mayo de 2026. Cinco días después la compañía reconoció el problema, pero cerró el informe como duplicado de un defecto conocido. En octubre el desarrollador tenía la intención de retirar Dispatch antes de que terminara el mes. Sin embargo, en la ayuda actual de Anthropic confirma que los usuarios anteriores de los planes Pro, Max y Ultra pueden continuar usando la función, aunque el acceso para nuevos usuarios está bloqueado.

ThisBash no tiene un CVE separado ni una evaluación CVSS publicada, y tampoco se ha identificado una versión corregida. Los autores del informe consideran que existe una frontera de confianza similar en Claude Code Remote Control y en las sesiones Claude Cowork, pero las pruebas de esas funciones aún no se han publicado. Anteriormente se detectó en agentes de IA un error de actualización de complementos que permitía la ejecución de código ajeno.