Chrome与Gemini漏洞可致攻击者远程访问摄像头与麦克风
这一安全漏洞由Palo Alto Networks旗下Unit 42团队的研究人员率先发现，并于2025年10月23日向谷歌提交了详细报告。经过谷歌技术团队验证后，于2026年1月5日发布了官方修复补丁。
免费影视、动漫、音乐、游戏、小说资源长期稳定更新！ 👉 点此立即查看 👈
高危漏洞浮出水面
谷歌Chrome浏览器内置的Gemini AI助手被曝存在高危安全缺陷（编号CVE-2026-0628）。攻击者无需用户进行任何额外操作，只要用户启用了浏览器内置的AI功能面板，就能直接获取摄像头与麦克风的未授权访问权限、窃取本地敏感文件，并实施网络钓鱼攻击。
该漏洞最初由Palo Alto Networks公司Unit 42安全团队发现，并于2025年10月向谷歌提交技术报告。谷歌在确认问题存在后，经过三个月开发测试，最终于2026年1月初发布了安全更新。
权限架构扩大攻击面
Chrome中的Gemini Live功能属于"AI浏览器"这一新兴类别，此类浏览器将AI助手深度集成至浏览环境。这些AI助手（包括Edge浏览器中的Microsoft Copilot，以及Atlas、Comet等独立产品）以特权侧边栏形式运行，能够实现实时网页摘要提取、任务自动化处理和智能浏览辅助等功能。
由于这些AI面板需要"多模态"视觉支持才能有效运作，Chrome赋予了Gemini面板提升的系统权限，包括摄像头调用、麦克风访问、本地文件读取和屏幕截图能力。这种特权架构虽然实现了强大的功能特性，但也显著扩大了浏览器的潜在攻击范围。
漏洞技术细节解析
该漏洞存在于Chrome处理declarativeNetRequest API的过程中，这是一个标准的浏览器扩展权限，允许扩展程序拦截和修改HTTPS网络请求及响应。该API被广泛应用于广告拦截等合法场景。
研究人员发现，Chrome在处理特定Gemini服务请求时存在关键差异：当该URL在普通浏览器标签页加载时，扩展程序可以拦截并注入JavaScript代码，但这不会授予任何特殊权限；而当同一URL在Gemini浏览器面板中加载时，Chrome会以提升的浏览器级权限进行处理。
利用这种处理机制的不一致性，仅具备基本权限的恶意扩展即可向特权Gemini面板注入任意JavaScript代码，从而劫持受信任的浏览器组件并继承其所有提升的访问权限。
攻击能力与实际影响
攻击者通过此技术控制Gemini面板后，仅需受害者点击Gemini按钮即可执行以下操作，无需任何其他用户交互：
网络钓鱼攻击的风险尤为严重，因为Gemini面板是受信任的浏览器集成组件。其中显示的恶意内容具有独立钓鱼页面所缺乏的固有可信度。
企业安全风险加剧
在企业环境中，被入侵的扩展程序获取员工摄像头、麦克风和本地文件访问权限会带来严重的组织安全风险，可能导致商业间谍活动和数据泄露事件。
谷歌已于2026年1月5日发布修复补丁。运行最新版Chrome的用户已获得安全保护。各组织机构应立即确保所有终端上的Chrome浏览器完成版本更新。
相关攻略
攻击者持续扫描互联网寻找未打补丁的基础设施，利用已知漏洞部署恶意软件或建立入侵企业网络的初始通道。 过时系统构成重大攻击面2026年3月23日，Shadowserver基金会在例行网络扫描中发现超过
工具采用基于标志位的输出控制机制，便于AI编程Agent将其作为子进程调用时，能高效解析输出而无需额外token开销。 工具概述密钥扫描已成为工程组织的标准实践，而Gitleaks是该领域应用最广泛
为应对风险，建议用户和企业采取以下措施：加强网络控制、避免OpenClaw默认管理端口暴露在互联网、采用容器隔离服务、避免明文存储凭证、仅从可信渠道下载技能模块、禁用技能自动更新功能，以及保持代理程
目前该漏洞尚无特定的威胁检测签名，因此主动打补丁和严格的权限管理至关重要。 漏洞概述Splunk发布紧急安全公告，警告用户其Enterprise和Cloud平台存在一个高危漏洞（CVE-2026-2
OpenAI称，该工具能建立对整个项目的上下文理解，从而专注于实际可被利用的漏洞，解决了应用安全团队长期面临的警报疲劳问题。 OpenAI新推出的应用安全Agent——Codex Security在
热门专题
热门推荐
《三国：天下归心》香香连击队全面解析：后期最强阵容搭配攻略 在策略手游《三国：天下归心》中，如何打造一支能够主宰战局的后期王牌队伍？本篇将为您深入剖析以孙尚香为核心的“香香连击队”终极搭配方案。该阵容由孙尚香、蔡文姬、貂蝉三位核心武将构成，其独特之处在于通过蔡文姬与貂蝉的完美辅助联动，极大化触发孙尚
爱奇艺极速版营业执照信息查询全攻略 在使用爱奇艺极速版应用时，无论是出于消费保障、商务合作考量，还是日常维权需要，核实其背后的实际运营主体与工商信息都是十分必要的环节。查询其营业执照信息有着明确且可靠的操作路径，可以帮助用户清晰了解服务提供方的合法资质。 官方权威途径：国家企业信用信息公示系统查询
在《红色沙漠》的“堕落之神”任务中，古代闪电装置的解谜环节是挑战巨化泰坦BOSS前的核心难点。整个电塔谜题由五座塔构成，其核心在于正确的激活与连接顺序。为了让各位冒险家能快速通关，本篇攻略将详细解析闪电塔的正确操作步骤。咱们这就开始，一步步点亮所有的电塔。 《红色沙漠》堕落之神任务：闪电塔解谜全流程
洛克王国炽心勇狮全面解析：技能、获得方法与实战指南 在《洛克王国》的众多宠物中，炽心勇狮以其传奇守护者的身份和强大的火焰力量而备受瞩目。作为火系宠物的代表之一，它的核心特征在于那颗永不熄灭的火焰心脏，这不仅是它力量的象征，更是其所有强大技能的能量源泉。由炽心勇狮喷发出的烈焰，拥有随着战斗进程而不断增
洛克王国公平鸽图鉴详解：裁判型宠物的属性技能与获取攻略 在洛克王国的众多宠物当中，公平鸽以其鲜明的裁判官形象与独特的对战定位，成为了许多玩家关注的对象。这只严格恪守自身准则的宠物，完美诠释了何为“公正严明”。它的行事守则堪称一套独特的生存哲学：执着于介入每一场争执，绝不因任何原因延误“出庭”，坚持做