浏览器扩展成AI代理后门：Claude Dispatch被滥用执行任意代码

一个没有CVE的漏洞：恶意扩展如何借AI代理落地执行

安全研究者最近展示了一种攻击路径：一个仅具备脚本访问权限的恶意浏览器扩展，能够滥用AI网络平台的任务中继（task-relay）功能，在用户本地机器上触发任意代码执行。整个过程没有传统意义上的漏洞利用——不需要CVE编号，不需要内存破坏，也不需要绕过什么防护机制。一个被投毒的扩展，安静地待在AI工作流链条里，就足够了。

这条攻击链的关键在于信任的错位。从AI代理的视角看，它收到的指令来自一个“合法”的中继通道；但从用户的视角看，这个通道已经被浏览器扩展污染。扩展本身没有直接执行恶意代码，它只是把伪造或篡改的任务递给了AI代理，然后由代理“代劳”完成本地执行。攻击者不需要攻破AI平台，只需要攻破平台所信任的输入端。

任务中继（task-relay） 是AI代理平台中常见的一类组件，用于在不同会话、设备或集成之间传递待执行的任务描述。代理从中继通道读取任务后，通常不会区分该任务最初由谁创建，而是按内容直接调度本地能力。这种设计提升了跨端协作的便利性，但也让中继通道成为信任链上的关键节点：只要能向其中写入内容，就能间接影响代理行为。

攻击面远超设计假设：浏览器、第三方集成与移动端切换

AI桌面代理的攻击面，已经远远超出了大多数安全模型在设计时的假设。研究者指出，浏览器、第三方集成、移动端交接（mobile handoffs）都在扩大暴露范围。代理接受的每一个新输入通道，都是一个潜在的注入点。

浏览器扩展生态在这一链条中尤其值得警惕。相对于AI代理默认赋予它的信任级别，扩展生态所受到的审查相当有限。一个扩展可能只申请了“读取和修改页面数据”这类看似温和的权限，但一旦页面是AI平台的界面，这项权限就足以篡改任务内容。权限模型按网页能力划分，而风险却按AI代理的执行能力放大——两者之间存在明显的错配。

移动端交接同样值得关注。当任务在桌面代理与移动端之间流转时，每个交接点都可能成为新的注入面。研究者并未给出具体的攻击演示细节，但从攻击逻辑看，任何能够向中继通道写入内容的环节，都具备成为投毒点的潜力。

浏览器扩展权限模型 通常按网页可访问能力划分，例如读取和修改页面数据（如 activeTab、scripting 等权限）。这类权限的授予目的是增强网页功能，其审查重点在于扩展是否滥用页面内容，而非它能否影响运行在同一页面上的其他应用。AI代理平台若以网页形式呈现任务界面，扩展便可能在用户无感知的情况下改写任务内容，而权限模型本身不会将这种行为标记为越权。

结构性问题：代理执行所接收的内容，而指令来源很少被执行时校验

这起演示暴露的是一个结构性问题，而非某个产品的偶发缺陷：代理会执行它收到的东西，而指令的来源（instruction provenance）在执行点上很少被验证。一个被扩展投毒的中继，从代理的角度看，与一个合法中继在功能上完全等同。

这意味着，仅靠“来源可信”这一层假设来构建安全边界是不够的。当代理把外部输入当作指令执行时，输入通道的可信度直接决定了执行结果的可信度。问题在于，很多AI代理在架构设计上默认信任了浏览器环境、第三方集成和移动端交接，却没有在执行点对指令来源做独立校验。

指令来源验证（instruction provenance） 指的是在执行动作前，独立确认一条指令确实由预期主体发出，而非仅依赖传输通道的可信度。常见实现包括对任务描述进行签名、在编排层校验来源标识、或要求敏感操作附带二次确认。缺少这一层时，代理只能以“通道可信”代替“指令可信”，一旦通道被污染，代理便无法区分合法任务与注入内容。

企业环境的现实问题：执行时约束该放在哪一层

对于在生产或企业环境中运行AI代理的团队，这条攻击路径提出了一个具体问题：无论代理被告知要做什么，如何约束它实际被允许做什么？这种强制约束应该发生在主机层、编排层，还是其他地方？

从防御角度看，几个方向值得考虑：在主机层限制代理可调用的系统能力，让即使被投毒的指令也难以触达敏感操作；在编排层对任务来源做独立校验，而不是默认信任中继通道；对浏览器扩展的权限做更细粒度的管控，尤其是那些能够访问AI平台界面的扩展。

研究者的演示没有给出万能解，但它指出了一个方向：安全边界不能只建立在“谁发来了指令”上，还要建立在“执行时允许做什么”上。当指令来源难以验证时，执行时的能力约束就是最后一道可控的防线。

常见问题

这是Claude平台本身的漏洞吗？

研究者描述的是恶意浏览器扩展滥用AI平台的任务中继功能，而非平台自身存在传统漏洞。攻击依赖的是扩展对页面脚本的访问权限，以及代理对中继通道的信任。

普通用户需要担心吗？

风险主要取决于所安装浏览器扩展的可信度，以及是否在使用具备本地执行能力的AI代理。对企业环境而言，这类攻击路径更值得纳入威胁模型评估。

有CVE或补丁吗？

研究者明确表示没有CVE，也不是传统漏洞利用。防御思路更偏向架构层面的执行时约束，而非单点补丁。