随着互联网技术的飞速发展，浏览器扩展已成为提升用户体验和功能的重要工具，而Chrome作为全球使用最广泛的浏览器，其扩展生态日益丰富。然而，在这些便利背后，存在着一个不容忽视的安全隐患，即Chrome扩展与本地主机上的模型上下文协议（MCP）服务器之间的通信可能引发严重的沙箱逃逸问题。这种安全漏洞不仅威胁到个人用户的数据安全，更对企业级环境构成了巨大风险。模型上下文协议（Model Context Protocol，简称MCP）是一种旨在让人工智能代理与本地系统工具和资源交互的协议。通常，MCP服务器会运行在用户本地机器上，通过标准的传输方式如服务器发送事件（Server-Sent Events，SSE）或标准输入输出流（stdio）进行通信。由于这些通信通道大多默认不设认证机制，任何在本地运行的程序都可能访问MCP服务器，这种开放性带来了严重的安全隐患。
近期安全研究团队在监测Chrome扩展活动时，发现某些扩展会向本地主机端口发送消息，进一步分析发现这些扩展实际上在与本地的MCP服务器通信。令人震惊的是，任何Chrome扩展无需特殊权限即可利用这一漏洞访问本地MCP服务器并调用其暴露的功能，如文件系统访问、Slack或WhatsApp等服务的接口。这突破了Chrome浏览器自身的沙箱隔离机制，使扩展程序能够绕过操作系统的安全防护，甚至对整个系统进行全面控制。Chrome曾在2023年加强了对公共网站访问用户私有网络的限制，阻止非安全上下文发起对localhost及内网IP地址的请求，以防止外部攻击者利用浏览器漏洞侵入企业内网。但在扩展领域，这类限制却并未得到同等实施，扩展的高权限反而成为潜在攻击者的“理想通道”。研究人员特地搭建了基于mcp.so的本地SSE MCP服务器实例，模拟了文件系统交互场景，并开发了示范性Chrome扩展对该服务器进行了无认证访问测试。
结果显示扩展能轻松获取服务器提供的各类工具列表并执行命令，成功突破了Chrome沙箱的安全保护。这种“沙箱逃逸”不仅存在于文件系统访问场景，还涵盖了与Slack、WhatsApp等第三方服务集成的MCP服务器，严重威胁用户个人隐私和企业敏感数据安全。随着MCP生态的迅速扩张，越来越多的服务器提供了多样化的能力，这本该带来创新和效率，但也无形中放大了潜在风险。许多开发者和组织在部署MCP服务器时忽视了身份验证和访问控制，默认开放本地接口，导致整个网络环境如同无遮拦的后门，极易被恶意Chrome扩展利用。为了应对这一新兴的攻击面，安全专家呼吁相关方必须高度重视，首先是强化MCP服务器的认证机制，确保只有授权客户端才能访问；其次，Chrome应进一步完善扩展的权限管理及网络访问限制，避免扩展无差别通信本地服务；企业须及时梳理和监控内部MCP服务的部署情况，加入流量审计和异常检测机制；用户则应谨慎安装扩展，并定期检查自身系统中可能运行的MCP服务，避免因盲目信任造成安全威胁。总的来看，Chrome扩展与MCP服务器间的通信漏洞是现代浏览器安全生态中的一大隐患。
这一安全挑战提醒我们，技术进步带来便捷的同时，也必须与完善的安全防护同步发展。只有全方位构建严密防线，才能真正保障个人隐私与企业网络安全，避免出现意想不到的“本地信任”漏洞，抵御潜伏在本地主机中的沙箱逃逸风险。未来，随着人工智能和本地服务器协议的进一步融合，相关安全问题将更加复杂多样，各方应共同努力，及时研判威胁、完善标准和策略，确保网络环境的长期健康与安全。
