是时候将浏览器扩展视为供应链攻击向量了

一名 Vercel 员工安装了 Context.ai 浏览器扩展，而 Context.ai 员工设备上的 infostealer 窃取了其保存的 OAuth token，最终引发对 Vercel 的大规模攻击。Aikido 指出浏览器扩展具备第三方特权代码、隐式信任和上游攻陷三要素，应按供应链攻击向量对待。