Claude in Chrome 正式上线
来自 Claude Blog · 期号 2026-08-26
摘要
Claude in Chrome 对所有付费用户开放，现在可以自主在浏览器中执行操作，无需逐次批准。 浏览器 agent 面临提示注入风险：恶意指令藏在网页或邮件中，可能让 agent 做出违背用户意愿的操作。Anthropic 通过三类防护来应对：训练模型识别攻击、用探针扫描网页内容、在操作执行前用分类器验证是否匹配用户请求。 在最新评测中，启用探针和安全分类器后，Sonnet 5、Opus 5 和 Mythos 5 的提示注入成功率为 0%，Fable 5 为 0.3%（均为低严重性场景）。企业版管理员可在后台限制允许访问的域名。
深读
导读 Claude in Chrome 正式对所有付费用户开放，并支持浏览器内自主操作。Anthropic 同时公布了针对提示注入攻击的三层防护体系及最新评测结果：在启用全部防护后，Sonnet 5、Opus 5 和 Mythos 5 的提示注入成功率为 0%。这篇文章值得读，因为它提供了当前最完整的浏览器 agent 安全方案细节，以及多个模型在统一评测下的对比数据。 关键信息 - Claude in Chrome 现在可以在浏览器中自主执行操作（阅读、输入、点击、导航、填表），无需逐次批准，用户可在设置中切换回手动模式。 - 防护体系包含三层：模型训练识别攻击、探针扫描网页内容、操作执行前用分类器验证是否匹配用户请求。 - 在最新评测中，使用探针和安全分类器后，Sonnet 5、Opus 5 和 Mythos 5 的提示注入成功率为 0%，Fable 5 为 0.3%（均为低严重性场景）。 - 在未启用任何额外防护时，Opus 4.5 的攻击成功率为 17.6%，Opus 5 为 3.8%。 - 企业版管理员可在后台管理 Claude in Chrome，并限制只允许访问已批准的域名。 逐节讲解 浏览器 agent 的提示注入风险 Claude in Chrome 让 Claude 能够访问那些没有 API 连接的工具，内部仪表盘、遗留系统、供应商门户。但浏览器 agent 面临一个核心安全威胁：提示注入攻击。攻击者将恶意指令隐藏在网页、邮件或表单字段中，用户可能从未看到这些指令，但它们能引导 agent 执行违背用户意愿的操作。例如，用户让 Claude 起草邮件回复，一条隐藏指令却可能让 Claude 把其他邮件转发给攻击者。 三层防护体系 Anthropic 从 2025 年 11 月首次发布 Claude in Chrome 试点以来，持续加固了防护： 1. 模型训练：从内部自动化攻击器、外部红队和真实监控中收集攻击样本，每次新攻击成功即加入训练库，让后续模型学会识别。 2. 探针扫描：网页内容通过工具结果到达模型前，探针先扫描是否存在提示注入。检测到可疑内容时，Claude 被警告谨慎处理，必要时向用户确认。该探针最初随 Claude Opus 4.5 部署，后续扩展了覆盖的攻击类型。 3. 操作验证分类器：Claude 即将执行的操作（如导航到新网站、在页面中输入文字）会被分类器审查，与用户原始请求比对，不匹配则阻止。这一机制与 Claude Code 的自动模式相同。 评测结果与模型对比 Anthropic 报告了两轮评测结果： - 初始评测（Claude Cowork 场景）：即使不启用探针和分类器，Fable 5、Opus 5、Sonnet 5 的攻击成功率为 0%。因该评测已饱和，被弃用。 - 当前评测（使用专业红队设计的更强攻击）：…