随着互联网应用的不断发展，浏览器扩展程序成为提升用户体验和工作效率的重要工具。尤其是Chrome扩展，以其强大的功能和便捷的安装方式，广受全球用户喜爱。然而，随之而来的安全风险也不容忽视。近期关于Chrome扩展与本地Model Context Protocol（MCP）服务器交互导致的安全漏洞引发业内广泛关注，这一问题揭示了浏览器沙箱机制存在的重大缺陷，带来了潜在的系统级安全威胁。 MCP（Model Context Protocol）是一种旨在连接AI代理与系统工具及本地资源的通信协议，支持多种传输方式，包括Server-Sent Events（SSE）和标准输入输出（stdio）。开发者可根据需求选择合适的方式实现MCP服务器与客户端间的交互。
目前，许多MCP服务器默认不为通信流程设置任何身份验证机制，导致任何本地进程都能无障碍访问其功能。 Chrome浏览器为了保护用户安全，采用了严格的沙箱模型，对扩展程序的权限进行了限制。理论上，扩展应无法绕过浏览器和操作系统之间的隔离层，确保其运行环境仅限于浏览器内部。然而，真实环境中，部分Chrome扩展通过访问本地主机（localhost）上的MCP服务器，实现了对系统资源的获取和操控。这种跨越浏览器沙箱边界的行为，打破了原有的安全边界，带来了极高的风险。 研究人员在实际监控扩展的网络行为时，发现某些Chrome扩展发起了对本地端口的请求，通信对象即为本地运行的MCP服务器。
值得注意的是，这类服务器通常绑定在localhost端口上，专为与AI工具交互设计，但由于缺乏访问控制，扩展无需授权即可请求并调用服务器上的工具函数，实现读取文件系统、操作消息服务或调用其他敏感功能。这种情形下，扩展拥有了执行高权限操作的可能，甚至引发恶意代码入侵并取得整机控制。 MCP协议在设计理念上追求简洁通用，支持多种后端实现，这使得编写针对不同MCP服务器的客户端变得非常容易。但也因此带来安全隐患，MCP服务器缺少默认认证流程成为攻击基点。攻击者仅通过Chrome扩展即可发起未经授权的请求，操纵MCP服务器执行任意指令，这无疑是对企业级安全防护的重大挑战。 值得一提的是，去年谷歌发布了Chrome 117版本，正式阻断了公共网页从非安全上下文向私有网络发起请求，意在保护本地网络免遭外部网页的探测和攻击。
然而这种限制并未涵盖Chrome扩展，由于扩展享有更高的权限，依旧可以访问localhost及内部服务，这就为恶意扩展敞开了攻击后门。鉴于许多企业在开发环境和生产环境中已有MCP服务器部署，缺乏严格的访问限制和监控，安全风险被大幅放大。 由于MCP生态迅速发展，涌现出大量提供不同功能的服务器，例如文件系统访问、Slack和WhatsApp接口等，这使得攻击场景更加多样化和复杂。一旦攻击者借助恶意扩展入侵MCP服务器，不仅可窃取敏感数据，还可能借助系统权限执行持久化操控，诱发更广范围的安全事故，对整个组织的信息安全构成威胁。 面对这一严峻状况，安全团队和企业管理者应迅速采取措施。首先，要对现有MCP服务器进行安全审计，确认是否存在无认证访问的漏洞。
同时应增强服务器的访问控制机制，引入身份验证和授权流程，确保只有可信客户端能与MCP服务器通信。其次，需加强对Chrome扩展的管理和监控，限制或排查对localhost端口异常访问的行为，对扩展权限进行严格审核，减少攻击面。技术层面，可研究引入基于行为分析的防护策略，及时发现和阻断异常请求。 行业内也应推动制定针对MCP服务器通信安全的标准规范，明确认证和加密要求，推动相关开源实现升级，以堵塞协议设计上的安全缺陷。此外，应强化用户安全意识，让终端用户了解扩展权限的重要性及潜在风险，避免误信第三方扩展而导致安全事件。 总的来说，Chrome扩展与本地MCP服务器的交互所暴露的安全问题，是当下浏览器安全生态中新出现的重要漏洞。
这种突破沙箱边界的攻击手法，不仅威胁个人用户的设备安全，更可能成为针对企业网络的强有力攻击途径。只有通过多层次、多维度的安全协作，才能有效遏制这一风险，保障用户和组织的数据资产安全。社区和企业应积极响应，加强技术投入和防御体系建设，为数字化时代的网络安全筑起坚实防线。
