近年来，随着人工智能和浏览器扩展的快速发展，Model Context Protocol（简称MCP）作为连接AI代理与系统工具的桥梁，得到了广泛应用。MCP服务器通常运行在用户本地机器上，方便各类应用通过标准化接口调用本地资源。然而，这样便捷的设计同时也带来了巨大的安全隐患。特别是在Chrome扩展能够无需认证地访问本地MCP服务器的情况下，传统依赖浏览器沙箱机制的保护已被证明存在严重漏洞，甚至可能导致完整的系统权限被恶意程序接管。本文将围绕Chrome扩展、MCP协议及其与操作系统安全边界的冲突展开详细分析，以期为用户和安全从业者提供深刻认知和应对思路。 MCP协议旨在为AI代理提供统一的接口，允许其通过HTTP Server-Sent Events（SSE）或进程标准输入输出（stdio）等方式与本地运行的MCP服务器通信。
这种设计初衷是简化开发流程和跨工具的互操作性，然而一个关键问题是，MCP规范本身并未强制要求身份验证。换言之，MCP服务器默认开放在本地端口（通常绑定于localhost）上，任何本地进程均可直接发起请求，并调用服务器暴露的功能。这种“开门迎客”的姿态在未采取额外安全措施的环境中极具危险性。 在实际调查中，我们发现部分Chrome扩展会向本地运行的MCP服务器发送请求。值得注意的是，Chrome扩展本身具备较普通网页更高的权限，虽然它们应当遵循浏览器沙箱隔离原则，防止直接访问操作系统资源，但由于MCP服务器监听的是本地端口，扩展实际上能够绕过沙箱限制，直接调用MCP接口。更严重的是，这些请求无需任何特别权限授权，普通扩展即可连接。
我们搭建了一个基于MCP的本地文件系统服务，允许通过MCP调用访问和操作用户本地目录。通过自制的Chrome扩展连接到该服务，扩展能够无阻碍地读取、写入甚至删除用户文件。这种能力突破了浏览器设计时的安全预期，一旦被恶意利用，用户的核心数据安全将面临巨大威胁。 不仅如此，MCP服务器并非局限于文件系统访问。我们还测试了基于Slack、WhatsApp等常用工具的MCP实现。结果表明，Chrome扩展同样能够调用这些应用的本地接口，执行消息发送、信息读取等操作。
换句话说，攻击者借助简单的扩展即可远程操控用户通信数据，影响工作与隐私安全。 Chrome官方曾于2023年进一步强化对私有网络请求的限制，禁止网页在非安全上下文环境下访问诸如localhost及局域网IP，旨在减少远程攻击面和数据泄露风险。但令人担忧的是，这些安全策略尚未完全适用于扩展程序，扩展对localhost的访问仍相对宽松。这为黑客利用MCP服务器打开沙箱逃逸的大门埋下了伏笔。 MCP服务器缺乏严格身份认证及访问控制已成为企业和个人安全管理中的一大盲点。尽管MCP协议设计时考虑了易用性与灵活性，但安全保障机制明显滞后。
大量部署于开发和生产环境的不受控MCP实例可能被迅速发现和利用，成为攻击者绕过防御的捷径。针对这一全新攻击面，安全团队应加强对此类本地服务的审计和监控，及时发现异常连接和访问请求，从源头阻断对敏感资源的非法操作。 除了技术层面的防护，最根本的解决方案应包括推动MCP协议及其实现者强化安全策略，比如引入强制的身份验证、多因素认证及基于角色的访问控制。此外，Chrome等浏览器厂商亦需反思并完善扩展权限管理，严格限制扩展对本地服务器和私有网络的访问能力，确保权限申请透明且细化。 对广大用户而言，审慎选择安装扩展，尤其是未经严格审核的第三方扩展至关重要。应定期检查本地运行的MCP服务器，确认其安全配置及使用权限，避免意外暴露关键数据。
综上所述，MCP与Chrome扩展的结合在提升AI及自动化体验的同时，也打破了浏览器沙箱的安全壁垒，暴露出前所未有的本地服务安全挑战。随着相关技术的日益普及及应用场景复杂化，理解并积极应对这一新兴威胁面，已成为保障数字环境安全不可忽视的关键任务。未来，只有多方协作推动安全设计理念升级，才可平衡功能创新与防护保障，为用户塑造一个更加安全可信的本地交互生态。
