Anthropic 试点 Claude in Chrome 浏览器智能体

背景

大多数 AI 助手只在对话框里回答问题。能直接操作网页的扩展更进一步：它在用户已经登录的浏览器里工作，不只是谈论页面，而是可以操作页面本身。日常工作中大量事情就发生在浏览器里，而安全问题也正出在这里。网页并不是可信文档，它可以携带专门写给模型看、而不是给人看的文字：一条评论、一个帖子、一段商品描述、一块藏在视野之外的内容。如果助手把这类文字当成指令，就可能被引去做用户从未要求的事。这就是提示注入（prompt injection），也是任何读取实时网页内容的智能体都要面对的核心安全问题。

试点

2025 年 8 月 25 日，Anthropic 开始试点 Claude in Chrome，这是一个能对网页执行操作的浏览器扩展^[1]。试点规模刻意压得很小：仅限 1000 名 Max 方案用户^[1]。与此同时，Anthropic 公布了自身提示注入测试的结果，而不只是笼统描述防护措施。在自主模式下，启用新的缓解措施后，攻击成功率从 23.6% 降至 11.2%^[1]。这个数字背后的测试覆盖 29 种攻击场景、共 123 个测试用例^[1]。在第二项指标上——一套围绕四类浏览器特有攻击构建的挑战集——Anthropic 表示缓解措施把攻击成功率从 35.7% 降到了 0%^[1]。

护栏与边界

即使有这些缓解措施，扩展在发布内容、购买、分享个人数据等高风险操作前仍会请用户确认^[1]。有些类别的站点被直接屏蔽：金融服务、成人内容和盗版内容^[1]。对组织用户，Team 和 Enterprise 的管理员可以在整个组织范围内开启或关闭 Claude in Chrome，并配置站点白名单与黑名单^[1]。

推广节奏

试点在此后几个月逐步放开。2025 年 11 月 24 日，扩展以 beta 形式覆盖所有 Max 订阅用户^[1]；2025 年 12 月 18 日，又扩展到 Pro、Team 和 Enterprise 方案^[1]。

为什么重要

两个成功率数字要分开看。11.2% 是下降，不是消除：在那套测试里，大约每九次攻击仍有一次成功。0% 来自另一套专门针对浏览器的挑战集，并不能用来说明前面那 29 种场景的情况。把两组数字连同测试规模一起公布，读者才能判断缓解措施究竟挡掉了多少风险，而不必仅凭对安全性的信任。

第二点值得注意的是控制权放在哪里。确认弹窗把决定权交给正处于高风险操作现场的用户^[1]；站点类别屏蔽和管理员白名单则把一部分决定权交给配置这个工具的人^[1]。对一家正在考虑是否允许智能体接触内部站点的公司来说，组织级开关和站点清单决定了这个工具是否可被管理。

把试点限定在 1000 名用户^[1]，意味着失效方式还在摸底时，可能受影响的范围是有限的。之后的推进顺序也遵循同样的思路：先小规模试点，再在 beta 中覆盖全部 Max 用户^[1]，最后进入需要管理员集中控制的 Team 和 Enterprise 方案^[1]。浏览器里存放着用户的登录状态，运行在其中的智能体天然带着用户的权限，这正是确认机制与站点规则从一开始就被做进产品、而不是事后补上的原因。