随着互联网技术不断进步，浏览器扩展在提升用户体验和功能多样性方面扮演了重要角色。然而，在这美好的外表之下，隐藏着复杂而严峻的安全隐患。特别是当Chrome扩展与本地运行的MCP（模型上下文协议）服务无障碍通信时，传统的浏览器沙箱安全机制面临巨大挑战，极有可能导致本地系统被恶意控制。MCP是一种用于连接AI代理与本地系统工具的开放协议，旨在让智能应用能通过统一接口访问各种资源，比如文件系统、通信工具等。它采用两种标准传输方式，分别是通过HTTP的Server-Sent Events（SSE）和标准输入输出流（stdio），开发者可根据需要选择适合的方式。遗憾的是，目前绝大多数MCP服务器默认并不启用任何认证和访问控制，意味着任何运行在同一台机器上的进程，只要能连接到相应端口或流，就可以无障碍调用服务器暴露的功能。
Chrome浏览器为保护用户安全，设计了严密的沙箱机制，限制扩展程序访问底层系统资源。然而，为保证扩展的合理功能，浏览器允许它们访问本地网络，包含本地主机（localhost）。看似合理的设计，却成为安全漏洞的温床。研究发现，部分Chrome扩展能够轻易向本地MCP服务器发送请求，获取会话ID，访问并调用MCP暴露的系统工具接口。由于无认证限制，这种通信流程使得恶意扩展可以突破沙箱限制，直接调用诸如文件系统访问、消息服务等高度敏感的功能。更令人担忧的是，不同MCP服务器为不同应用场景设计，有的支持对Slack、WhatsApp等通信服务进行操作，有的则完全控制本地文件系统。
一旦遭遇恶意扩展的入侵，攻击者可以悄无声息地窃取文件，操控通信内容，甚至完全控制受害机器，造成巨大的隐私和安全危机。谷歌浏览器在2023年通过版本117开始限制网站对私有网络的访问，这一措施主要针对网页内容，极大改善了来自互联网脚本的内网攻击风险。但Chrome扩展因其特殊权限和本地网络访问能力，仍然可绕过这些限制，使得攻击面依旧存在。MCP服务器的设计目标是为AI模型提供统一、灵活的系统调用接口，这种设计初衷带来的潜在安全问题却常常被忽视。由于缺乏强制身份验证和访问控制，MCP为恶意活动提供了方便的通道。对许多开发者而言，MCP服务器通常运行在开发环境或生产系统中，却并未配备足够的安全措施，导致其变成了一条未被监视的后门。
对于安全团队而言，MCP协议的流行意味着面临新的攻防挑战。他们必须将MCP纳入安全监控范畴，制定完善的访问策略，确保只有授权程序能够调用MCP服务。同时，必须密切关注Chrome扩展的行为，及时发现和阻断可疑的本地主机访问请求。此外，企业应推动MCP服务器开发者在设计时融入安全机制，包括强制身份认证、权限隔离和访问日志记录，避免全部功能对本地网络开放。用户层面，也应及时更新浏览器和扩展，避免安装来源不明或未经审查的扩展程序，降低遭受攻击的可能性。镜像的情况在未来可能随着人工智能技术的普及而变得更为复杂，MCP协议的作用将日益凸显。
而只有在安全设计与防范措施全面到位的前提下，才能真正享受到AI与浏览器扩展带来的便利，同时避免成为黑客攻击的牺牲品。综上所述，Chrome扩展与本地MCP服务器的交互揭示了现代计算环境中安全边界的脆弱性。浏览器沙箱无法单独抵御通过本地主机协议发起的攻击，必须引入更为综合和细致的安全机制，防止恶意扩展利用无认证的MCP服务实现沙箱逃逸。提升产业链中各环节的安全意识，加强访问控制和行为监测，将是保障用户系统安全，维护数字生态环境健康的关键所在。未来借助社区协作和技术创新，相信能够逐步构建起对MCP等新兴协议的有效防护，助力构建安全可靠的智能计算新生态。
![The Manufacturing Behind Shapeoko CNC Routers [video]](/images/434D0BDD-230D-4CF4-AD57-3B99E38E4850)
