Chrome扩展侧边栏代理执行工具调用缺乏用户确认的安全修复

漏洞总结 漏洞概述 该漏洞涉及 Chrome 扩展程序侧边栏代理（sidepanel agent）在执行模型请求的自动化工具时，缺少用户确认步骤。攻击者可以通过控制页面内容或摘要指令，诱导代理执行特权浏览器自动化操作（如导航或调试器操作），而无需最终用户批准。 影响范围 CVSS 评分: 8.1 (High) 向量: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N 影响: 攻击者可以利用模型输出的内容，诱导代理执行未授权的浏览器自动化操作，影响机密性和完整性。 修复方案 1. 添加用户确认步骤: 在每次执行自动化工具之前，增加一个显式的用户确认步骤。 2. 返回取消消息: 当用户拒绝工具调用时，返回一个工具结果取消消息，允许代理继续执行非特权浏览器自动化。 3. 回归测试: 添加回归测试，确保在确认未连接的情况下，拒绝的自动化工具调用不会执行。 代码块 修复前代码 修复后代码 回归测试代码 其他信息 修复文件: - - - CVSS 评估: - 问题: 未确认的模型请求浏览器自动化 - CVSS v3.1: 8.1 High - 向量: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N 安全复现步骤: 1. 在易受攻击的代码上，运行添加的回归测试。 2. 测试失败，因为 从未被调用，循环没有拒绝路径。 3. 应用补丁。 4. 重新运行相同的测试，观察到被拒绝的工具调用转换为错误工具结果消息， 未被调用。 预期易受攻击的行为: - 预补丁时，模型返回的自动化工具调用在启用自动化时直接执行。 - 没有用户可见的每调用提示，也没有在 之前的取消路径。 此 PR 中的更改: - 为 添加可选的 钩子。 - 在每次自动化工具调用之前检查钩子。 - 当用户拒绝调用时，附加取消/错误工具结果。 - 将 Chrome 扩展侧边栏连接到 ，带有工具名称和 JSON 参数。 - 添加一个聚焦的安全回归测试，用于拒绝的自动化工具调用。 维护者影响: - 补丁仅限于侧边栏代理自动化，不更改非自动化摘要行为。 - 核心循环钩子是可选的，保留现有测试和不调用确认回调的网站。 - 有意使用自动化的操作员/用户仍然可以批准预期的工具调用，但意外的页面影响调用现在会在可见提示处停止。 修复理由: - 最安全的持久边界是在模型请求的操作成为特权浏览器自动化之前的最后一点。 - 广泛的自动化启用设置是有用的，但不应被视为对每个未来工具调用的批准。 - 每调用确认保持默认路径可审查，同时保留高级自动化工作流。 变更类型: - 安全修复 - 测试 - 文档更新 - 无行为变化的重构 测试计划: - 在实施修复之前，使用新的回归测试重现缺失的确认路径。 - 本地验证在 Node v22.22.2 上运行， 打印了存储库的 Node 引擎警告 (>=24)。上述命令仍成功完成。 令牌使用: - 发现令牌: 部分未知 - 验证令牌: 部分未知 - 重复检查令牌: 部分未知 - PR/写入令牌: 部分未知 - 总令牌: 部分未知 - 注意: 在此本地修补会话中不可用精确遥测。 披露说明: - 此 PR 仅限于 Chrome 扩展侧边栏代理自动化执行边界。 - 它不声称绕过浏览器扩展权限或未授权代码执行。 - 开放 PR/问题检查未发现此每调用自动化确认表单的现有重复项。附近的安全 PR 存在其他扩展信任边界，但此补丁解决了不同的执行网关。 - 没有无关的文件被更改。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Chrome扩展侧边栏代理执行工具调用缺乏用户确认的安全修复

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Chrome扩展侧边栏代理执行工具调用缺乏用户确认的安全修复

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！