Задача Claude ушла на компьютер второго пользователя

Автор разбирал накопившиеся окна Chrome и нашёл там вкладки с товарами, которые сам не искал: браузер на его машине открывал и листал Claude, выполняя запрос его партнёрши, сидевшей за другим компьютером. Историю рассказал Braw в блоге Productivity Theatre 30 июля 2026 года.

Коротко

• Два инженера делят один аккаунт Claude Pro, у обоих стоят Claude Desktop и расширение Claude for Chrome, и задача одного из них, по его словам, выполнялась в браузере на машине другого.
• По данным claude.com, расширение получает разрешение debugger и кликает, печатает и снимает скриншоты в браузере, а боковая панель стартует в режиме автоматического одобрения действий.
• Ни один из двоих не включал удалённое управление Claude, превью computer use или Claude Code в браузере, а переход задачи на второй компьютер, как пишет автор, ничем не обозначался.

Если вы не следили за тем, как Claude оказался в браузере: Claude for Desktop вышел в октябре 2024 года, тогда же Anthropic открыла публичную бету computer use вместе с обновлёнными Claude 3.5 Sonnet и Claude 3.5 Haiku. Claude Code появился в research preview в феврале 2025-го, а в июне 2025-го вошёл в план Pro, и тогда же локальные MCP-серверы получили установку в один клик в Claude Desktop. Даты приводит github.com.

Вкладки с товарами нашлись случайно: Chrome у автора почти всегда простаивает

Партнёрша автора подбирала покупки и просила Claude помочь с поиском. По его словам, в это же время на его компьютере сами открывались окна Chrome и уходили на сайты тех самых товаров. Оба работают инженерами, поэтому взялись разбираться.

У обоих установлен Claude Desktop и настроено расширение Claude for Chrome, аккаунт Claude Pro у них общий. Как пишет автор, работа уходила на его машину в те моменты, когда Chrome у партнёрши был закрыт, и ни в одном интерфейсе это никак не отмечалось.

Chrome у него не основной браузер, обычно он висит в фоне, и заглядывает туда автор редко. Открытые вкладки он заметил только при уборке старых окон. Ни он, ни партнёрша не включали ни удалённое управление Claude, ни превью computer use, ни Claude Code в браузере.

Почему Claude открывает Chrome сам

По описанию claude.com, расширение Claude in Chrome читает страницы, кликает и переходит по ссылкам рядом с пользователем, а запустить его можно из боковой панели браузера, из Claude Cowork или из Claude Code. Когда чат или задача в десктопном приложении упирается в сайт, Claude открывает Chrome и делает работу так, как делал бы человек: жмёт кнопки, печатает, заполняет формы, без переключения окон вручную.

Держится всё на разрешении debugger, которое просят при установке. На claude.com его описывают прямо: именно оно даёт Claude управлять браузером, нажимать кнопки, вводить текст и снимать скриншоты по вашей просьбе. Примерно так работает запасной ключ от квартиры: дверь та же, замок тот же, открывает не хозяин.

Режим боковой панели при старте, по данным claude.com, называется «Automatically approve»: Claude работает непрерывно, сам проверяет каждое действие на безопасность и останавливается с вопросом, когда нужно подтверждение. Смените режим, и панель запомнит выбор для следующих сессий.

Anthropic называет каждую веб-страницу вектором атаки

В Anthropic объясняют, что браузерные агенты открыты для prompt injection: инструкции прячут в содержимом страницы, агент читает их вместе с остальным текстом и выполняет, вплоть до отправки данных наружу. Формулировка компании: каждая страница, которую посещает агент, потенциальный вектор атаки.

Риск, по описанию Anthropic, растёт с двух сторон. Поверхность огромна: любая страница, встроенный документ, реклама или скрипт годятся как канал. И действий у браузерного агента много: перейти по адресу, заполнить форму, нажать кнопку, скачать файл, и весь этот набор достаётся тому, кто получил влияние на агента.

По данным anthropic.com, улучшения устойчивости к prompt injection в Claude Opus 4.5 повлияли на решение перевести расширение Claude for Chrome из research preview в бету и открыть его всем пользователям плана Max. Там же признают, что проблема далека от решения, особенно по мере того как модели совершают всё больше реальных действий.

Это наблюдение двух пользователей, а не воспроизведённый баг: автор пишет, что Claude, по его ощущениям, переключался на вторую машину, и что проверки они только начали. Какой компонент выбирает устройство и при каких условиях, запись не объясняет. Странно, на наш взгляд, другое: расширение, которому выдают разрешение на полное управление браузером, ничем не показало ни на одной из машин, что работа идёт на чужом компьютере.

Что покажут их эксперименты Автор и его партнёрша собираются заблокировать инструмент на одной машине и посмотреть, переключится ли Claude, а за ним и Claude Code, на вторую. Если переключится, они обещают переделать рабочий процесс: удалённый доступ к чужому компьютеру без спроса их не устраивает. Сроков и результатов в записи нет. Тем, кто делит подписку с малознакомыми людьми или продаёт лимиты, автор советует заранее посчитать риск для приватности.