Chrome增强保护拦截ClickFix并警告HTTP连接

资讯专家

Google 宣布 Chrome 新增一组针对诈骗和社工的防护，包括新的站点警告、服务端 Gemini 分析和 ClickFix 命令检测。其中 Gemini 与 ClickFix 防护属于 Chrome 的增强保护（Enhanced Protection）模式；该模式是 Google 在 2020 年推出的 Safe Browsing 模式，Google 称去年已有超过 10 亿 Chrome 用户开启。

Safe Browsing 站点警告改为两级
Chrome 的 Safe Browsing 站点警告现在分为两级，类似此前用于文件下载的模型：当 Safe Browsing 高度确信页面恶意时，仍显示整页红色“危险站点”警告；新增“可疑站点”级别用于置信度较低的判定，标记使用已知恶意站点常见欺骗手法的页面。Google 表示，由于这类警告有独立设计，可以安全地显示更多警告。

Gemini 诈骗检测转到服务端
Gemini 驱动的诈骗检测已迁移到 Google 服务器。去年的设备端版本主要针对技术支持诈骗，并且仅限受支持设备上的增强保护用户。现在能力更强的服务端模型面向所有增强保护用户开放，检测目标还扩展到假杀毒和假浏览器更新页面。模型会审查页面展示的品牌、页面用途和诈骗可能性评分等信号。Safe Browsing 将 Gemini 分析、域名信誉和其他安全信号结合后生成最终判定。Google 称，只有在站点出现强烈诈骗迹象时才分析页面文本；离开设备的内容会被临时处理，不会记录、存储或用于训练 AI 模型。

ClickFix 命令检测
ClickFix 攻击会诱导受害者自行粘贴并运行命令，这些命令几乎总会调用 PowerShell 等 living-off-the-land 二进制。由于恶意软件下载发生在终端而不是浏览器，Chrome 和 Safe Browsing 的下载防护不会介入。Chrome 现在可以识别增强保护用户被操纵复制可疑命令的情况：如果复制了潜在 ClickFix 脚本，剪贴板载荷会先去除 PII，再发送到 Safe Browsing 分析；若返回危险判定，Chrome 会显示警告。Google 称该系统按高精度设计，以实时保护用户，同时尽量减少对合法开发活动的干扰。

HTTP 连接前需用户确认
Chrome 现在会在通过未加密 HTTP 连接站点前请求用户批准。增强保护用户今年早些时候已获得该功能；按照去年承诺，Google 现已默认对所有用户开启。Google 认为仅靠“不安全”标签不够：研究表明此类被动提示可能被忽略，重定向等短时 HTTP 流量甚至不会获得标签，而且标签通常只在用户数据和连接已经暴露后才出现。该提示在首次访问 HTTP 站点时显示。用户批准一次 HTTP 使用后，Chrome 不再警告，直到用户至少两周未访问该站点。默认情况下，无法获得公开信任 HTTPS 证书的站点不会触发警告，例如单标签主机名和本地 IP 地址；Google 称这些主机通常风险较低，攻击者需在同一本地网络才能篡改流量。早期推送数据显示，近 95% 的桌面 Chrome 用户在一周内不会遇到 HTTP 警告，不到 1% 的用户看到三次或更多；移动用户看到警告的频率更低。Google 称 Chrome 是首个采用该方法的浏览器，并希望其他浏览器跟进。

热心网友4

看完感觉这组更新里最实用的是 ClickFix 检测，因为这类攻击把恶意命令交给用户自己在终端执行，确实绕开了浏览器下载防护；剪贴板内容先去掉 PII 再分析，也算兼顾了隐私。Gemini 检测转到服务端后覆盖更多增强保护用户，但“只在强烈诈骗迹象时分析页面文本、临时处理不存储不训练”这个说明挺关键，否则容易让人担心。 HTTP 连接前确认对普通用户可能稍显打扰，不过按文中数据，近 95% 桌面用户一周内不会遇到警告，实际影响应该有限；本地 IP 和单标签主机名默认不触发也比较合理。两级站点警告则能让低置信度页面也有提示，同时保留整页红色警告给高确信恶意站点。整体看，增强保护模式的价值更明显了，但默认开启 HTTP 确认后，首次访问一些老站点可能会多一步。

热心网友7

看完感觉 Chrome 这波更新挺有针对性的。两级站点警告比单纯“红页拦截”更灵活，低置信度页面也能先给用户提个醒；Gemini 检测转到服务端后覆盖更多诈骗类型，而且说明了页面文本只在强烈诈骗迹象时才分析、不存储不训练，这点比较让人放心。ClickFix 那个剪贴板检测思路很巧，因为恶意命令最终是用户自己粘贴运行的，浏览器下载防护确实管不到，能在复制阶段拦一下很有价值。HTTP 连接前确认对普通用户可能偶尔会觉得多一步，但按文中的数据，绝大多数人一周内都遇不到，影响应该有限。日常使用的话，保持 Chrome 更新、别忽视可疑站点警告、看到不明命令别随手粘贴，基本就能用上这些防护了。

热心网友5

这波更新挺务实。两级站点警告比一刀切红色更容易让人重视高置信威胁；Gemini 转服务端后覆盖更多增强保护用户，还扩展到假杀毒和假更新页面，而且说明了临时处理、不存储不训练，这点挺关键。ClickFix 检测最有意思，因为恶意命令在终端执行，传统下载防护确实管不到，能识别复制可疑脚本并去 PII 后分析，思路对路，但实际误报控制要看高精度设计是否兑现。HTTP 确认默认全量开启可能会让部分人觉得多一步，不过数据说近 95% 桌面用户一周遇不到，影响应该有限；首次批准后两周不警告也算合理。总体是偏防守的更新，普通用户值得确认一下增强保护有没有开。