谷歌Chrome浏览器里的GeminiLiveAI面板最近爆了个大雷，是个高危漏洞，编号CVE-2026-0628。这事是帕洛阿尔托网络公司的Unit42团队扒出来的，说恶意扩展能把这面板给劫持了，把不该有的权限全拿了去。GeminiLive本来就是个内置的聊天机器人，可它不光是聊天这么简单，它跟浏览器深度捆绑在一起，能截屏幕、看本地文件，甚至想拍照说话都没问题。这本来是图方便的设计，但要是让坏心思的扩展程序有了这个权限，那可是个大麻烦。Unit42的研究员Gal Weizman就指出，这种程序要是把Gemini给骗了，就能拿着合法身份干坏事，比如偷偷开摄像头、麦克风，乱翻你电脑里的东西。 他们发现坏人是怎么搞的：他们把浏览器处理GeminiLive侧边面板请求的方式给改了。利用Chrome在处理扩展网络规则时的漏洞，把这请求给拦截下来，再篡改流量。这事听起来挺复杂？其实也没多难，就是普通的扩展操作，可Chrome为了保护AI功能这块儿的设计太烂了。谷歌倒是反应挺快，一月初就修好了漏洞，发了补丁到Chrome 143.0.7499.192和143.0.7499.193这两个桌面版里去了。 但这事也给咱们提了个醒：AI功能和核心软件绑太紧了，浏览器的安全威胁模型就变了。Gartner这家公司也跟着凑热闹，建议大家在用那种叫“智能体”的浏览器时得小心点。他们觉得AI带来的风险比提高的生产力还要大。这也说明坏人早就开始把AI技术用在坏事儿上了。就好比今年2月有个研究报告说发现了一款Android恶意软件，它运行的时候会调用谷歌Gemini模型，帮忙解读屏幕截图然后自动化操作设备。 大家都知道浏览器厂商以前一直想方设法限制扩展权限，怕那些恶意下载探测系统。但AI助手一来就把情况搞复杂了。这个漏洞就告诉我们：你想给软件更大的权力是好事儿，但得搞清楚谁会拿着这些权力去干坏事。只有在提升用户体验的时候也保障安全，咱们才能真的享受到科技带来的便利。