Anthropic 全面开放 Claude in Chrome：自主浏览操作上线，防注入拦截率拉满

让 AI 替你点网页，最让人提心吊胆的不是它点错了，而是网页里藏了一行暗箭，让它转头把你的邮件全转发给陌生人。

Anthropic 之前搞浏览器操作插件一直小心翼翼，每点一下都要弹窗让你确认。但 8 月 26 日，Anthropic 正式向所有付费订阅用户开放了 Claude in Chrome 扩展。更关键的是，它终于放开了自主操作权限，不用每一步都让你点通过了。

三道防线看住 AI 的鼠标

这套扩展能直接接管你已经登录的各种网页，不管是公司内部看板、老旧系统还是供应商后台，它都能看页面、点链接、打字、填表单，还支持跨标签页工作，并跟桌面端、移动端与网页端同步记录。

但放手让它自己跑，怎么防「提示注入」？Anthropic 这次拿出了三道防线。

第一道是持续进化的攻击样本库。官方通过内部自动化攻击工具、外部红队测试和实际监控，把最新的提示注入套路持续喂给模型训练。

第二道是探针。当模型通过工具调用读取网页或邮件内容时，受训探针会提前扫描这些返回数据。一旦发现可疑代码，就会给 Claude 预警，要求它提防内容，或者停下来找你确认。

第三道是动作分类器。这个机制来自 Claude Code 的 auto mode。在 Claude 执行跳转或输入文字之前，分类器会拿这个动作去比对你最初的指令。如果对不上，动作立刻会被拦截。当然，如果你还是觉得心慌，也可以在设置里关掉自动审批，切回手动模式。

攻防测试与局限

为了证明这套防御管用，Anthropic 公布了最新的红队评测数据。

在没有任何外挂防护时，面对专业红队搞出的强力攻击，Opus 4.5 的失手率是 17.6%，而到了 Opus 5，失手率降到了 3.8%。

一旦开启探针和安全分类器，从 Opus 4.8 开始的防护表现就直接拉满了。在测试中，Claude Sonnet 5、Claude Opus 5 和 Claude Mythos 5 的被攻破率全部压到了 0%。只有 Fable 5 出现了 0.3% 的微小失守，Anthropic 表示这些漏网之鱼都属于低严重度场景。

不过，现在的限制也明摆着。扩展目前只能在 Chrome 上运行，不支持其他基于 Chromium 的浏览器，也不能在手机上用。如果你要处理本地电脑文件或其他客户端应用，依然得开 Claude 桌面端。企业版管理员可以在后台限制 Claude 只能访问指定的白名单域名。

为什么重要

我们认为，Anthropic 这次正式开放扩展，最聪明的点在于它没有走「完全自律模型」的死胡同，而是把安全拆成了外部探针加分类器管线。浏览器环境充斥着不可信输入，如果只靠模型本身识别注入，几乎不可能做到万无一失。通过在动作发生前多加一道与原始意图的比对，它才敢把每步必点的手动确认拿掉，让浏览器智能体真正具备实用价值。

对用户来说，这意味着那些没有提供 API 的内部工具、供应商后台或者繁琐的审批表单，终于可以交给 Claude 批量操作了。如果你经常要在多个内部系统之间搬运数据，现在就很值得在付费版里试一试。只要关掉自动模式，它的安全性依然完全在可控范围内。

但隐患并没有完全消失。正如 Anthropic 自己承认的，提示注入是一个动态靶子。即使在实验室里做到了零突破，现实世界里的新攻击手段依然层出不穷。对于处理核心财务数据或高度机密邮件的团队来说，过早完全放任 AI 在后台自主狂奔，依然需要保持足够的敬畏。