北京
你的瀏覽器擴展正在偷看AI對話——這不是假設(shè)，是已經(jīng)發(fā)生的漏洞。
安全研究人員發(fā)現(xiàn)Anthropic公司Claude瀏覽器擴展存在一個名為"ClaudeBleed"的嚴(yán)重缺陷。任何Chrome擴展都能向Claude AI代理注入任意指令，無需用戶許可即可操控AI行為。
問題出在兩個環(huán)節(jié)：權(quán)限檢查過于寬松，信任驗證機制存在缺陷。攻擊者利用DOM操作和重復(fù)偽造消息，就能繞過用戶確認(rèn)保護(hù)。一旦得手，第三方擴展可完全接管代理功能，竊取信息或執(zhí)行未授權(quán)操作。
這直接擊穿了Chrome的擴展安全模型。Claude的代理能力本應(yīng)幫用戶自動完成任務(wù)，現(xiàn)在卻成了惡意擴展的入口。用戶以為自己在和AI私密對話，實際上后臺可能另有"聽眾"在發(fā)號施令。
技術(shù)細(xì)節(jié)顯示，漏洞利用不需要復(fù)雜攻擊鏈。普通擴展借助標(biāo)準(zhǔn)瀏覽器API即可觸發(fā)，攻擊門檻極低。對于依賴Claude處理敏感工作的用戶而言，這意味著當(dāng)前版本存在實質(zhì)性風(fēng)險。
該發(fā)現(xiàn)已公開披露，完整技術(shù)分析見Grid the Grey安全博客。Anthropic尚未發(fā)布官方修復(fù)聲明，建議用戶暫時關(guān)閉擴展的自動執(zhí)行權(quán)限，或限制高敏感度任務(wù)的使用場景。
特別聲明：以上內(nèi)容(如有圖片或視頻亦包括在內(nèi))為自媒體平臺“網(wǎng)易號”用戶上傳并發(fā)布，本平臺僅提供信息存儲服務(wù)。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
