研究者演示恶意浏览器扩展如何将 Claude Desktop 变为远程 shell

安全研究者演示恶意浏览器扩展可将 Claude Desktop 变为远程 shell，并控制同一账号下另一台电脑的实例。攻击脚本每秒点击一次“Allow”授权，诱导 Claude 通过 Claude Code 在 /tmp 执行 npm install -g add-colors-to-bash，再用谎称包来自朋友的 Prompt 绕过校验。