Anthropic 的 Claude for Chrome 擴充功能標誌著 AI-瀏覽器整合的重大進展，讓 AI 助理能夠直接與網頁內容互動。這項功能承諾提升生產力，但也引入了關鍵的安全漏洞。網站透過隱藏惡意指令劫持 AI 代理的潛在可能性已在網路安全專家間拉起警報。 該擴充功能目前僅開放給有限數量的高階訂閱者，讓 Claude 能夠透過與網頁元素互動來執行各種任務。然而，這項功能使其容易受到「提示注入」攻擊，惡意網站可以嵌入隱藏指令來欺騙 AI 系統。 儘管 Anthropic 實施了防禦措施，安全研究員仍對這些保護措施的充分性持懷疑態度。持續的辯論突顯了 AI 進展與網路安全之間的微妙平衡，強調隨著 AI 瀏覽器代理變得更加普及，對強大安全範式的需求。
人工智慧與網頁瀏覽器的整合邁出了重大一步，Anthropic 最近推出了 Claude for Chrome 瀏覽器擴充功能，讓 AI 助理不僅能觀察網頁內容，更能主動與之互動。雖然這項進展承諾提升生產力，但也引入了一個讓網路安全專家拉警報的關鍵安全漏洞：網站可能透過隱藏的惡意指令劫持 AI 代理。這項發展代表了 AI 工具演進的關鍵時刻，日益增長的自主性既帶來便利，也帶來相當大的風險。
週二，Anthropic 宣布推出 Claude for Chrome 擴充功能作為限量研究預覽版，初期僅開放給 1,000 名該公司高階 Max 方案訂閱者，該方案每月費用介於 100 至 200 美金之間。這種謹慎的推出方式承認了技術的實驗性質及其固有的安全挑戰。該擴充功能讓 Claude 能夠維持使用者瀏覽活動的脈絡，並執行從安排會議、起草電子郵件到管理行事曆和測試網站功能等各種任務——全部透過自動點擊功能直接與網頁元素互動。
Claude for Chrome 擴充功能建立在 Anthropic 於 2024 年 10 月發布的電腦使用功能基礎上，該功能賦予 AI 模型截圖和控制使用者滑鼠游標的能力。然而，Chrome 擴充功能提供了更直接的瀏覽器整合，代表 AI-瀏覽器功能的重大進展。這項發展似乎是更廣泛產業趨勢的一部分，競爭對手如 Perplexity 的 Comet 瀏覽器、OpenAI 的 ChatGPT Agent 和 Google 的 Gemini Chrome 整合都在追求類似功能，這已成為 AI 發展的新戰場。
這項技術演進與先前進展的不同之處在於它引入的根本安全挑戰。隨著 AI 助理獲得代表使用者與網頁內容互動的能力，它們變得容易受到一種稱為「提示注入」的攻擊——這個術語由安全研究員 Simon Willison 於 2022 年創造。這個漏洞允許惡意網站嵌入隱藏指令，可以欺騙 AI 系統在使用者不知情或未同意的情況下執行有害行為。根據 Anthropic 自己的測試，在沒有安全緩解措施的情況下運作時，使用瀏覽器的 AI 模型在 123 個測試案例（代表 29 種不同攻擊情境）中以驚人的 23.6% 成功率成為這些攻擊的受害者。
安全影響深遠。在 Anthropic 強調的一個例子中，惡意電子郵件可能指示 Claude 以「信箱衛生」為藉口刪除使用者的電子郵件。在沒有適當保護措施的情況下，AI 助理會簡單地遵循這些指令，在沒有確認的情況下刪除使用者電子郵件。風險延伸到潛在的金融詐欺、資料竊取和未經授權的內容發布——全部由使用者已授權代表他們行動的 AI 助理執行。
Anthropic 已實施數項防禦措施來解決這些漏洞。這些措施包括網站層級權限，允許使用者授予或撤銷 Claude 對特定網站的存取權限、在發布或購買等高風險行為前要求使用者確認，以及預設封鎖提供金融服務、成人內容或盜版材料的網站。根據該公司表示，這些安全措施將自主模式下的攻擊成功率從 23.6% 降至 11.2%。在測試四種瀏覽器特定攻擊類型時，Anthropic 聲稱緩解措施將成功率從 35.7% 降至零。
然而，獨立的 AI 安全研究員仍不相信這些保護措施足夠。於 2022 年創造「提示注入」術語並廣泛記錄 AI 安全風險的 Simon Willison 將剩餘的 11.2% 攻擊率描述為「災難性的」。在他的部落格上，Willison 寫道「在缺乏 100% 可靠保護的情況下，我很難想像釋放這種模式會是個好主意的世界」。他進一步斷言「代理瀏覽器擴充功能的整個概念存在致命缺陷，無法安全建構」。
這些擔憂並非僅是理論上的。就在上週，Brave 的安全團隊發現了一個重大漏洞，存在於競爭對手 AI 驅動網頁瀏覽器 Perplexity 的 Comet 瀏覽器中。該漏洞允許攻擊者在 Reddit 貼文中嵌入不可見的指令，當使用者僅是要求瀏覽器總結 Reddit 討論串時，就能欺騙 AI 存取使用者的 Gmail 帳戶並觸發密碼重設流程。儘管 Perplexity 嘗試修復問題，Brave 後來確認安全漏洞仍然存在，因為他們的初始緩解措施被破解了。
Brave 安全團隊透過建立一個概念驗證攻擊展示了這個漏洞的嚴重性，該攻擊僅需讓 Comet 使用者要求瀏覽器總結包含隱藏惡意指令的網頁，就能接管使用者的 Perplexity 帳戶。這次攻擊突顯了安全研究員多年來一直警告的問題：對 AI 語言模型來說，可信指令和不可信內容被串聯到同一個文字流中，使得區分合法指令和惡意注入在根本上具有挑戰性。
對於考慮使用這些 AI 瀏覽器擴充功能的使用者來說，安全影響需要認真考慮。雖然讓 AI 助理管理例行瀏覽任務的便利性很吸引人，但透過隱藏惡意指令造成安全漏洞的潛在風險構成重大威脅。使用者應該仔細檢視他們授予 AI 擴充功能的權限，對允許 AI 互動的網站保持警覺，並考慮限制 AI 存取包含個人或財務資訊的敏感帳戶。那些希望更好理解這些安全挑戰的人可以考慮像《AI 漏洞攻擊手冊：保護未來免受提示注入、模型操控和對抗性攻擊》這樣的資源。
Anthropic 承認這些風險，並計劃利用其研究預覽版來識別和解決在實際使用中出現的攻擊模式，然後再讓 Chrome 擴充功能更廣泛地可用。然而，正如 Willison 指出的，「我不認為期望終端使用者對安全風險做出良好決策是合理的」。這將安全責任主要放在 AI 供應商身上，要求他們開發更強大的保護措施來對抗提示注入攻擊。
AI 瀏覽器代理的出現代表了 AI 能力和網路安全挑戰的新前沿。隨著這些工具變得更加普及，它們可能需要超越傳統網路安全模型的新安全範式。目前授予 AI 代理與網頁內容互動能力，同時嘗試過濾惡意指令的方法似乎存在根本缺陷，正如安全研究員識別出的持續漏洞所證明的。尋求在這些挑戰中保持領先的網路安全專業人士可能會發現像《對抗性 AI 攻擊、緩解和防禦策略》這樣的參考資料很有價值，該書涵蓋威脅建模和保護 AI 系統。
對一般使用者來說，謹慎的做法可能是等到開發出更強大的安全措施後，再擁抱具有自主能力的 AI 瀏覽器代理。雖然將瀏覽任務卸載給 AI 助理的便利性很吸引人，但目前的安全風險表明這些工具可能還沒準備好被主流採用。隨著技術演進，全產業的安全標準和更有效的保護機制將是確保 AI 瀏覽器代理在不損害安全性的情況下提升生產力的關鍵。
與此同時，Anthropic 謹慎地將 Claude for Chrome 作為限量研究預覽版推出的做法展現了對這些挑戰的認知，以及在更廣泛部署前解決安全疑慮的承諾。對於那些有興趣了解 Claude 在瀏覽器整合之外能力的人，像《Claude Code：完整指南》這樣的資源提供了寶貴見解。然而，根本問題仍然存在：AI 瀏覽器代理是否能夠變得足夠安全，以證明它們引入的風險是合理的？這個問題的答案將塑造 AI-瀏覽器整合的未來，並決定像 Claude for Chrome 這樣的工具是代表網頁瀏覽的未來，還是因為無法克服的安全挑戰而成為技術死胡同。
