作者：Stephanos Spyrou

想象一个再普通不过的周二。你办公室里可能有人正跟一个死活转换不了的 PDF 较劲，或者赶着在二十分钟后开会前把一条条款翻译出来。他们搜索一番，找到一个图标看着挺顺眼、评价有好几千条的免费浏览器扩展，然后点击“添加到 Chrome”。没弹密码框，IT 那边也没跳红色警告。整个过程只花了四秒钟，而且因为屏幕上啥吓人的事都没发生，大脑就默默把它归档为“无害”。

你自己很可能也这么干过。我敢拿钱打赌。这种本能并不愚蠢，只不过大概过时了二十年，而花五分钟搞清楚为什么会这样，绝对值得。

企业安全体系原本是为了守住一道边界：防火墙、网络规则、把办公室围起来的高墙和有人盯守的大门。问题在于，如今已经没有人在这堵墙后面工作了。你通过单点登录登录企业邮箱或云盘的那一刻，就已经拿着门禁卡站在大楼里面了。

浏览器扩展不需要强行闯入。它只要请求权限就行，而大多数人根本不看自己给了什么权限，直接点接受。扩展权限过大才是这里真正的隐形杀手：宽泛的主机访问权限让扩展能直接继承你一模一样的身份和会话，读取你读的内容，捕获你输入的信息，还能随便拿走让你保持登录状态的Cookie。有些扩展做得更绝，直接从页面的文档对象模型——也就是屏幕上所有可见内容的底层结构——里抓数据。这就是DOM抓取，意味着你在表单、客户门户或聊天窗口里输入的任何东西都能被实时截走，不需要传文件，也不是杀毒软件能拦得住的。从网络的角度看，这一切根本不像入侵，看起来就跟平常的星期二一样。

它们也很少会主动引起注意。这些扩展中的大多数在数月内完全按照宣传的那样运作。它们赢得真实的五星好评和一小群忠实的用户，因为建立信任就是整个策略。然后，毫无征兆地，它们变脸了。

安全研究人员在2026年初花了不少精力去拆解这样一桩大规模事件：超过300个Chrome扩展，合计逾3700万次下载，被发现它们在极具迷惑性的外表背后偷偷窃取浏览历史和个人数据。6月，微软更进一步，捣毁了一个它命名为StegoAd的行动，涉及119个扩展、多达260万用户，打的旗号不过是广告拦截器、计算器和PDF工具这类普通功能。恶意代码藏在扩展自身的图标图像里，肉眼和大多数扫描器都看不见，而且它是故意延迟才激活的，这样早期的审核者始终只能看到那个无害的版本。

一旦激活，它就能窃取登录凭证和会话 cookie，足以在不碰密码的情况下劫持账户——这就是教科书级别的会话劫持和 cookie 窃取。干这事的玩意儿，在每一个扫描器眼里，都像个完全无害的计算器。整个过程根本不需要骗任何人去访问什么可疑网站。萨里大学的研究人员分析了 21,000 个真实的 Chrome 扩展程序，发现大约六分之一（合计被超过 6 亿人使用）在安装后六十秒内就开始做第三方跟踪，而隐私政策里——就是那个根本没人真会去读的隐私政策——往往一个字都不提这事。

光靠一纸书面政策让员工别装未经批准的扩展程序，解决不了这个问题，就跟节食计划碰上办公室饼干罐基本撑不过去一样。这就是最典型的影子 IT，而其核心的便利陷阱很简单：没人装翻译工具是为了搞出数据泄露，他们只是想在十分钟后开会之前把那个条款翻译好。方便这东西，每次都是当下赢，而当下那一秒就够了。

真正弥合这一差距的是浏览器层面的技术治理：将浏览器本身视为网络防御的一部分，而非人们恰好用来访问网络的应用程序。这始于零信任工作流映射，精确追踪敏感数据离开安全系统进入浏览器标签页后的流向，将可见性和控制置于有人即将粘贴敏感内容的关键环节，而不是一份入职培训后再没人打开过的PDF政策文件。

塞浦路斯正积极将自身定位为国际商业和科技公司值得信赖的基地。这一声誉不会仅靠防火墙就能建立，而是由那些已将良好治理延伸至浏览器标签页的企业赢得——当客户询问其数据究竟如何受到保护时，诚实的答案不是一句“但愿如此”，而是一套架构。