Tarayıcıda açık bir yapay zekâ oturumu ile masaüstündeki ajanın aynı hesaba bağlı olması pratik görünür; ancak bu paylaşım, güvenlik sınırlarını da birlikte taşır. Forever Security araştırmacısı Gal Weizman’ın bulgularını aktaran güvenlik basın duyurularına göre Anthropic’in Claude Dispatch özelliği, claude.ai oturumundaki herhangi bir tarayıcı eklentisinin Dispatch API’sine erişerek Claude Desktop ajanına görev göndermesine ve masaüstünde kod çalıştırmasına imkân tanıyabiliyor. Bulgu, 5 Kasım 2026 civarında kamuoyuna yansıdı ve “ThisBash” adıyla anılıyor.
Önemli ayrıntı: Ortada bir CVE numarası veya bug bounty ödülü yok. Araştırmaya göre sorun bir “yanlışlıkla unutulmuş satır”dan çok, web ve masaüstü oturumunun bilinçli olarak paylaşılmasına dayanan bir tasarım seçimi. Anthropic’in Mayıs’ta bunu geçerli bir açık olarak kabul ettiği, ancak düzeltmenin gelmediği belirtiliyor. Şirketin Dispatch’i Ekim sonunda emekli edeceğini söylediği, buna rağmen 30 Ekim itibarıyla limited beta’nın sürdüğü aktarılıyor. Yani kullanıcıya “kapatıyoruz” mesajı verilmiş olsa bile özellik pratikte yaşamaya devam etmiş.
Claude Dispatch nedir?
Claude Dispatch, kullanıcının tarayıcı veya mobil üzerinden Claude Desktop’taki ajana görev iletmesini sağlayan bir köprü. Amaç, sohbeti bir yerde başlatıp ağır işi — dosya düzenleme, komut çalıştırma, yerel araç kullanımı — masaüstü ajanına devretmek. Bu model, “ajan her yerde” vaadini güçlendirirken kimlik doğrulama sınırının nerede bittiği sorusunu da büyütüyor. Web’de oturum açmış olmak, masaüstünde komut çalıştırma yetkisine giden yolu da açıyorsa, tarayıcı eklentileri beklenmedik bir saldırı yüzeyi haline gelir.
ThisBash senaryosu nasıl işliyor?
Araştırmanın özetlediği saldırı yolu kabaca şöyle: Kullanıcı claude.ai’de oturum açmış durumda ve bilgisayarında Claude Desktop çalışıyor. Aynı tarayıcıya yüklenmiş kötü niyetli ya da ele geçirilmiş bir eklenti, claude.ai oturumunun sahip olduğu Dispatch API erişimini kullanabiliyor. Eklenti bu API üzerinden Desktop ajanına bir görev gönderiyor; ajan da yerel ortamda komut çalıştırabiliyor.
Önkoşullar net: claude.ai erişimli kötü niyetli veya ele geçirilmiş bir eklenti, kimliği doğrulanmış web oturumu ve çalışır durumdaki Desktop. Parola çalmak şart değil; mevcut oturumun yetkileri yeterli olabiliyor. Bu da “eklenti izinlerine dikkat” uyarısını soyut bir tavsiye olmaktan çıkarıp doğrudan bir sömürü yoluna bağlıyor. Özellikle “verimliliği artıran” az bilinen eklentiler veya ele geçirilmiş meşru eklenti güncellemeleri bu zincirde ilk halka olabilir.
Kurumsal sınırların ötesine uzanma
Bulgunun kurumlar açısından daha rahatsız edici kısmı, aynı Claude hesabına bağlı başka bir makinedeki Desktop örneğine de ulaşılabileceği iddiası. Yani saldırı yüzeyi, kullanıcının o an oturum açtığı dizüstü bilgisayarla sınırlı kalmayabiliyor. Ev ofisi, ikinci iş istasyonu veya kurumsal bir masaüstü de aynı hesabın Dispatch zincirine girebiliyor. Bu, “kişisel tarayıcı eklentisi” ile “şirket bilgisayarındaki ajan” arasındaki varsayılan güvenlik duvarını zayıflatıyor.
Araştırmada Cowork ve Claude Code Remote Control tarafında benzer zayıflığın sürdüğü de belirtiliyor. Yani Dispatch tek başına emekli edilse bile, web ile yerel ajanı birbirine bağlayan diğer özelliklerde aynı oturum paylaşımı modeli risk üretmeye devam edebilir. Ürün ekibinin bir özelliği kapatması, mimarinin geri kalanında aynı varsayım duruyorsa yeterli olmayabilir.
OpenAI Codex neden karşı örnek sayılıyor?
Aynı haberlerde OpenAI’ın Codex yaklaşımı karşı örnek olarak anılıyor. Codex’in web ve masaüstü oturumlarını bu şekilde paylaşmadığı, dolayısıyla tarayıcı eklentisinin masaüstü ajanına doğrudan “görev atama” köprüsü kuramadığı vurgulanıyor. Bu karşılaştırma, ajan ürünlerinde mimari seçimin güvenlik sonucunu nasıl değiştirdiğini somutlaştırıyor: Kolay görev aktarımı ile sıkı oturum ayrımı arasında bilinçli bir denge gerekiyor. “Aynı hesap her yerde” konforu, eklenti ekosistemiyle birleştiğinde beklenmeyen bir uzaktan kod yolu açabiliyor.
Kullanıcılar ve güvenlik ekipleri ne yapmalı?
- claude.ai oturumu açıkken bilinmeyen veya az bilinen tarayıcı eklentilerini yüklemeyin; mevcut eklentileri gözden geçirip gereksiz olanları kaldırın.
- Claude Desktop’u çalıştırdığınız makinelerde, özellikle kurumsal verinin bulunduğu ortamlarda, aynı hesabı kişisel tarayıcı profilleriyle paylaşmayın.
- Dispatch, Cowork veya Claude Code Remote Control gibi uzaktan görev özelliklerini ihtiyaç yoksa kapatın ya da sınırlı kullanın.
- Kurumsal politikalarda “aynı yapay zekâ hesabının birden fazla cihazda ajan yetkisi”ni risk olarak değerlendirin; mümkünse ayrı hesap veya ayrı cihaz politikası uygulayın.
- Anthropic’in ürün güncellemelerini ve Dispatch’in emeklilik takvimini izleyin; limited beta sürüyorsa özellik hâlâ saldırı yüzeyi demektir.
Tasarım seçimi, “yama gecikmesi”nden farklı bir sorun
Birçok güvenlik açığı “yanlış doğrulama” veya “eksik kaçırma” ile kapanır. Burada tartışılan risk ise ürünün bilerek web oturumunu masaüstü ajana bağlayan bir API sunmasından kaynaklanıyor. Bu tür zayıflıklarda CVE ve bug bounty süreçleri her zaman devreye girmeyebilir; çünkü satıcı bunu bir süre “beklenen davranış” sayabilir. Kullanıcı tarafında ise sonuç aynıdır: Tarayıcıdaki bir eklenti, yerel ajanın yetkilerine uzanan bir köprü haline gelebilir.
Yapay zekâ ajanları masaüstüne indikçe, “sohbet sitesine giriş yaptım” ile “bilgisayarımda komut çalıştıran bir aracıya yetki verdim” arasındaki fark bulanıklaşıyor. Claude Dispatch örneği, bu bulanıklığın yalnızca model güvenliği değil, oturum mimarisi ve eklenti ekosistemi meselesi de olduğunu hatırlatıyor. Mayıs’ta kabul edilip hâlâ kapanmamış bir tasarım riski, ürün yol haritası ile güvenlik beklentisinin zaman zaman çatışabileceğini de gösteriyor.
Kaynak: Forever Security araştırması ve güvenlik basın duyuruları
