Claude Desktop 暗中安装浏览器扩展？安全专家揭露隐蔽行为
网络安全专家亚历山大·汉夫（Alexander Hanff）在个人博客中发布了一则重磅警告：Anthropic 公司开发的 Claude Desktop 应用，在用户毫不知情的情况下，悄悄在多款主流浏览器中安装了具有高权限的“Native Messaging”桥接文件。这一行为不仅绕过了用户授权，还可能为恶意攻击者打开后门。
汉夫的检测显示，只要用户安装了 Claude Desktop，无论是否主动使用浏览器扩展功能，该程序都会自动在 Chrome、Brave、Edge、Opera、Vivaldi、Arc 和 Chromium 等七款基于 Chromium 内核的浏览器配置目录中，写入一个名为 com.anthropic.claude_browser_extension.json 的文件。更令人不安的是，即使用户从未安装过其中某款浏览器，Claude 也会提前创建对应的文件夹——这意味着，只要用户未来某天安装了这些浏览器，该桥接组件就会自动生效，无需任何提示或确认。
桥接文件能做什么？远超普通扩展的权限
这个看似普通的配置文件，实则是浏览器与本地程序通信的“后门”。根据 Anthropic 官方文档，该组件允许 Claude 桌面端与浏览器深度联动，具备以下能力：
- 读取当前网页的完整 DOM 内容（包括密码框、表单、银行页面）
- 自动填充登录信息、提交表单
- 在用户不知情的情况下打开新标签页或跳转页面
- 录制屏幕（需用户手动开启，但权限已预置）
- 共享浏览器登录态，实现跨会话身份同步
这些功能本身并非全然危险——但问题在于：它们被默认安装，且无法通过常规的浏览器扩展管理界面（如 chrome://extensions）发现或关闭。用户即使清理了浏览器插件，也仍可能保留这个隐藏的桥接通道。
攻击面暴露：11.2% 的提示词注入成功率意味着什么？
汉夫进一步指出，Anthropic 自己公布的数据显示，其 Chrome 扩展在遭遇提示词注入攻击时，成功率高达 11.2%。这意味着，只要用户访问了一个被植入恶意脚本的网站，攻击者就有可能通过伪造对话，诱导 Claude 扩展执行非预期操作——比如自动登录网银、导出历史记录、甚至伪造转账指令。
更危险的是，由于该桥接程序运行在浏览器沙箱之外，拥有与用户相同的系统权限。一旦被利用，攻击者可借此：
- 窃取保存在浏览器中的密码、Cookie 和信用卡信息
- 劫持登录会话，绕过双因素认证
- 作为跳板，横向渗透本地其他应用或文件
这已不是“隐私泄露”那么简单，而是典型的“权限滥用+隐蔽植入”组合攻击模式。
用户无法察觉，官方无回应
截至目前，Anthropic 官方尚未就此事发布任何说明。在 Windows 和 macOS 上，用户无法通过控制面板、应用程序列表或系统设置中找到该桥接组件的卸载入口。汉夫在测试中发现，即便删除了 Claude Desktop，桥接文件仍残留，必须手动前往以下路径逐一清理：
- Windows：
C:Users[用户名]AppDataLocalGoogleChromeUser DataNativeMessagingHosts - macOS：
/Users/[用户名]/Library/Application Support/Google/Chrome/NativeMessagingHosts/
而这些路径对普通用户而言几乎不可见——更别说知道该删哪个文件了。
专家呼吁：立即下架或明确授权
汉夫在博客中明确要求 Anthropic 做出以下改变：
- 立即停止在用户不知情时自动安装桥接文件
- 如需使用浏览器联动功能，必须弹出清晰提示，明确告知功能权限，并由用户主动点击“允许”
- 提供官方卸载工具，彻底清理残留文件
- 公开所有已安装桥接文件的清单，供用户自查
他强调：“这不是‘便利功能’，这是对用户信任的背叛。如果你连安装一个AI助手都要偷偷摸摸地埋下权限后门，那它还能被称作‘可信’吗？”
你该怎么做？立即自查
如果你安装过 Claude Desktop，无论是否还在使用，都建议立即执行以下操作：
- 卸载 Claude Desktop（从系统应用列表中彻底删除）
- 手动检查并删除桥接文件（路径见上文）
- 检查浏览器扩展：打开
chrome://extensions，确认没有名为 “Claude” 或 “Anthropic” 的扩展（即使没有，桥接文件仍可能存在） - 重置浏览器密码和会话：建议更改重要网站（银行、邮箱、社交平台）的密码，并退出所有登录会话
目前，已有多个开源安全社区开始制作自动化清理脚本。如果你不确定如何操作，可搜索 “Claude Desktop cleanup script GitHub” 获取社区验证的工具。
这起事件再次提醒我们：AI 工具再智能，也不能凌驾于用户知情权之上。真正的隐私保护，不是靠“默认开启”，而是靠“明确授权”。
