事件背景与影响
近期，安全研究人员披露了Anthropic旗下Claude for Chrome插件存在两处严重安全漏洞。尽管该问题早在今年5月便已上报，但在7月发布的1.0.801.0版本中依然存在。这些漏洞可能导致恶意浏览器插件在用户不知情的情况下，调用Claude的AI能力，获取包括Gmail邮件、Google Docs文档及Google Calendar日程在内的敏感数据。
从我们的应急响应经验来看，浏览器插件由于拥有极高的页面访问权限，往往成为攻击者绕过安全边界的“跳板”。当AI模型被赋予了自动执行任务的权限（即Agent模式）时，这种安全风险会被进一步放大。
攻击链分析：被操纵的交互逻辑
该漏洞的核心在于Claude插件对前端DOM事件处理的逻辑缺陷。攻击者利用恶意浏览器扩展，通过以下步骤完成攻击：
首先，攻击者利用恶意插件向claude.ai页面注入特定的DOM元素，并伪造一个点击事件。由于Claude插件的点击事件处理器未能校验事件的 isTrusted 属性（该属性用于标识事件是否由真实用户触发），系统会错误地将攻击者模拟的点击判定为用户的合法操作。
其次，通过注入预设的 data-task-id，攻击者可以强制触发Claude内置的九种硬编码提示词。这些提示词不仅限于简单的引导任务，还包括读取近期邮件、分析文档评论、查询日程甚至操作Salesforce等业务系统的权限。
技术手法解析：信任边界的缺失
这一环节是很多企业容易忽视的：开发者往往过度信任前端交互的可靠性。在此次事件中，主要存在两个技术风险点：
第一是“信任边界失效”。插件未能校验事件来源，导致恶意脚本可以模拟用户意图，触发高权限的AI操作。如果用户开启了“Act without asking”（无需询问自动执行）模式，攻击者即可实现静默的数据窃取。
第二是“参数初始化风险”。研究发现，通过特定的URL参数 skipPermissions=true，插件可以跳过权限校验并直接进入高权限模式。虽然目前该操作需要较高的插件权限，但这种架构上的设计缺陷，一旦配合其他XSS攻击或消息处理漏洞，后果将不堪设想。
Solar安全建议与经验总结
针对此类AI驱动的扩展程序风险，我们建议企业和个人用户采取以下防御措施：
- 最小化权限原则：在浏览器中仅安装必要的插件，并定期清理不再使用的扩展程序。对于拥有高权限访问能力的AI类插件，应保持高度警惕。
- 强制交互校验：对于开发者而言，所有涉及敏感操作的事件处理必须严格校验
isTrusted属性，确保操作确实源于用户物理点击。 - 默认安全配置：AI插件应默认开启“交互前确认”模式，严禁通过URL参数等轻量级方式绕过权限检查。
- 监控与审计：企业应通过终端安全软件监控浏览器插件的异常行为，特别是那些频繁尝试注入脚本或访问敏感API的扩展。
类似攻击近年来明显增加，攻击者越来越倾向于利用AI工具的“代理能力”来实现自动化攻击。企业在引入新技术的同时，必须同步评估其对应的安全边界。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com