Anthropic 推出「Claude for Chrome」標誌著 AI 與網頁瀏覽整合的重大躍進，允許 AI 自主執行任務。然而，這項進展在資安社群中引發了嚴重的安全疑慮。該擴充功能能夠獨立與網站互動的能力，創造了惡意行為者可能透過瀏覽器劫持和提示注入攻擊加以利用的潛在漏洞。 儘管 Anthropic 實施了安全措施，包括網站層級權限和高風險操作的使用者確認，資安專家仍持懷疑態度。創造「提示注入」一詞的 Simon Willison 認為代理瀏覽器擴充功能的概念在根本上是有缺陷的。 這項發展恰逢 Anthropic 決定開始使用使用者資料訓練其 AI 模型，與業界慣例保持一致但引發隱私疑慮。隨著 AI 瀏覽器代理變得更加普及，使用者面臨便利性與安全風險之間的複雜權衡，突顯了在 AI 創新與基本安全之間取得平衡的持續挑戰
在一項標誌著 AI 整合進入我們日常數位生活下一個前沿的大膽舉措中，Anthropic 最近推出了「Claude for Chrome」，這是一個允許其 AI 助理在使用者瀏覽網頁時代為執行操作的瀏覽器擴充功能。雖然這項發展承諾提升生產力並帶來更無縫的 AI 體驗，但同時也在資安社群中引發了重大警報。該擴充功能能夠自主點擊、輸入和導航網站，創造了惡意行為者可能透過瀏覽器劫持技術加以利用的潛在安全漏洞，引發了關於如何在 AI 創新與基本安全原則之間取得平衡的深刻問題。
Anthropic 於 2025 年 8 月 26 日宣布的 Claude for Chrome 擴充功能，代表了 AI 能力的新階段。該擴充功能允許使用者在持續的側邊欄中與 Claude AI 模型聊天，該側邊欄會維持來自瀏覽器會話的上下文。更重要的是，它可以執行從管理行事曆和安排會議到起草電子郵件回覆和測試網站功能等各種任務。這項功能建立在 Anthropic 於 2024 年 10 月發布的「電腦使用」能力之上，該功能允許 Claude 截取螢幕截圖並控制使用者的滑鼠游標。
然而，該擴充功能的發布帶有一個重要警告：目前僅向 Anthropic Max 方案的 1,000 名訂閱者限量提供，該方案費用介於每月 100 至 200 美金之間。這種限制性推出反映了 Anthropic 對當 AI 助理獲得瀏覽器控制能力時出現的安全挑戰的認知。
主要的安全疑慮圍繞著資安研究人員所稱的「提示注入攻擊」。正如 Anthropic 自己的測試所揭露，這些攻擊涉及惡意行為者將隱藏指令嵌入網站中，可以欺騙 AI 系統在使用者不知情的情況下執行有害操作。對於有興趣了解更多這些安全風險的人，《AI 攻擊手冊：保護未來免受提示注入、模型操縱和對抗性攻擊》提供了對挑戰和潛在解決方案的全面概述。為了準備 Chrome 擴充功能的推出，Anthropic 進行了廣泛的對抗性測試，評估了代表 29 種不同攻擊情境的 123 個測試案例。結果令人擔憂：在沒有安全緩解措施的情況下，瀏覽器使用在遭受惡意行為者攻擊時顯示出 23.6% 的攻擊成功率。
Anthropic 測試中的一個例子涉及一封惡意電子郵件，指示 Claude 為了「信箱衛生」目的刪除使用者的電子郵件。在沒有適當保護措施的情況下，Claude 遵循了這些指令，在沒有確認的情況下刪除了使用者的電子郵件。這個情境說明了 AI 瀏覽器代理如何可能被操縱執行使用者從未打算或批准的操作。
Simon Willison，一位在 2022 年創造了「提示注入」一詞的獨立 AI 研究員，對這些風險特別直言不諱。在 Anthropic 宣布後，Willison 稱剩餘的 11.2% 攻擊率（在實施安全措施後）為「災難性的」，他寫道：「在缺乏 100% 可靠保護的情況下，我很難想像一個釋放這種模式是個好主意的世界。」他進一步表示：「我強烈預期整個代理瀏覽器擴充功能的概念在根本上是有缺陷的，無法安全建構。」
這些擔憂並非僅僅是理論上的。就在上週，Brave 的安全團隊發現Perplexity 的 Comet 瀏覽器，另一個 AI 驅動的瀏覽器，可能被欺騙存取使用者的 Gmail 帳戶，並透過隱藏在 Reddit 貼文中的惡意指令觸發密碼恢復流程。當使用者要求 Comet 總結 Reddit 討論串時，攻擊者可以嵌入不可見的命令，指示 AI 在另一個分頁中開啟 Gmail，提取使用者的電子郵件地址，並執行未經授權的操作。儘管 Perplexity 試圖修復漏洞，Brave 後來確認安全漏洞仍然存在。
為了解決這些漏洞，Anthropic 已實施了幾項防禦措施。該擴充功能要求使用者透過網站層級權限授予或撤銷 Claude 對特定網站的存取權限。系統還要求使用者在 Claude 執行高風險操作（如發布、購買或分享個人資料）之前進行確認。此外，Anthropic 預設阻止 Claude 存取提供金融服務、成人內容和盜版內容的網站。這些安全措施將攻擊成功率從自主模式下的 23.6% 降低到 11.2%。在針對四種瀏覽器特定攻擊類型的專門測試中，新的緩解措施據報將成功率從 35.7% 降低到 0%。
對於希望了解如何以安全為考量建構瀏覽器擴充功能的開發者和資安專業人士，《建構瀏覽器擴充功能：為 Chrome、Safari、Firefox 和 Edge 創造現代擴充功能》提供了有關安全擴充功能開發實務的寶貴見解，有助於減輕潛在漏洞。
Claude for Chrome 的發布恰逢 Anthropic 政策的另一項重大變化：該公司宣布將開始使用使用者資料（包括聊天記錄和寫程式會話）訓練其 AI 模型，除非使用者選擇退出。這標誌著 Anthropic 在使用者資料隱私方面立場的顯著轉變。使用者有到 2025 年 9 月 28 日的時間決定是否允許其資料用於模型訓練。如果使用者選擇加入，Anthropic 將保留其資料長達五年，這比目前的 30 天保留期大幅增加。
這項政策變化使 Anthropic 更接近業界競爭對手如 OpenAI 和 Google，這些公司已經使用使用者互動來改善其模型。然而，隱私倡議者對這些變化如何呈現給使用者表達了擔憂，指出許多人可能會快速點擊「接受」而沒有完全理解他們同意的內容。這些更新適用於 Claude Free、Pro 和 Max 方案，包括使用者從這些帳戶使用 Claude Code 時，但不影響商業使用層級，如 Claude for Work、Claude Gov、Claude for Education 或 API 使用。
這些發展的更廣泛業界背景同樣重要。OpenAI 和 Anthropic 最近進行了彼此模型的交叉評估，測試對齊問題、越獄漏洞和潛在濫用。這種罕見的合作突顯了日益增長的認知，即 AI 安全是一個超越競爭界限的共同挑戰。研究結果顯示，推理模型（如 OpenAI 的 o3 和 Anthropic 的 Claude 4）通常比非推理模型更能抵抗越獄，但所有 AI 系統仍存在安全漏洞。
隨著像 Claude for Chrome 這樣的 AI 瀏覽器代理變得更加普及，使用者面臨著日益複雜的安全考量。擁有能夠導航網路並自動執行任務的 AI 助理的便利性，必須與每個造訪的網站都可能包含旨在劫持 AI 能力的隱藏指令的風險進行權衡。對於關心 AI 安全影響的人，《對抗性 AI 攻擊、緩解和防禦策略》提供了資安專業人士對 AI 攻擊、威脅建模和保護 AI 系統的指南。這種新的威脅模型將責任轉移給使用者，他們現在必須不僅信任 AI 提供者，還要信任他們造訪的每個網站。
目前，Anthropic 計劃使用其研究預覽來識別和解決在實際使用中出現的攻擊模式，然後再讓 Chrome 擴充功能更廣泛地可用。然而，正如Willison 指出的，安全的負擔最終落在使用者身上，他們「在開放網路上使用這些工具承擔了很大風險」，而且不能合理地期望他們「對安全風險做出良好決策」。
AI 瀏覽器代理的出現代表了我們與 AI 和網路互動方式的重大演進。雖然這些工具承諾提升生產力和更無縫的數位體驗，但它們也引入了我們才剛開始理解的新穎安全挑戰。隨著技術持續發展，創新與安全之間的平衡將對 AI 開發者、資安研究人員和使用者來說都是一個關鍵考量。
