最近，微软 Edge 浏览器突然卷进一场不小的安全争议。
多家媒体在 2026 年 5 月 5 日集中报道：
Edge 可能会把用户已保存的密码，以明文形式加载到浏览器进程内存中，并在整个会话期间持续保留。
这件事之所以引发热议，不是因为“密码文件被偷了”，而是因为：
只要设备本地环境已经被攻破，或者攻击者拿到了当前登录会话的高权限访问能力，这些保存在 Edge 里的密码，就可能被直接从内存中读出来。
更让人不安的是，公开报道里提到，微软对这一行为的态度更接近“设计如此”，而不是紧急修复的传统漏洞响应。
所以问题来了：
- Edge 这次到底危险在哪？
- Chrome 会不会也有同样的问题？
- 普通用户现在应该怎么防？
这篇就一次讲清楚。
一、Edge 这次到底发生了什么？
根据 2026 年 5 月 5 日公开流传的研究和媒体报道，安全研究人员指出：
Microsoft Edge 会在浏览器启动后，把已保存密码解密到进程内存中，并在整个浏览器会话期间以明文形式保留。
更关键的是，这种情况据称并不是“访问某个网站时才临时解密”，而是：
- 浏览器一启动就加载
- 即使你没有访问对应网站
- 明文密码仍然可能停留在内存中
如果这个结论成立，风险点就非常明确了：
- 共享电脑环境风险更大
- 企业终端、VDI、远程桌面、多用户机器更敏感
- 本机恶意软件、信息窃取木马更容易直接读取浏览器凭据
简单说，这不是传统那种“远程网页一打开就能把你密码偷走”的漏洞。
它更像是：
当你的电脑已经不再安全时，Edge 对本地密码暴露的防线比很多人预期得更弱。
二、这算不算真正的“漏洞”？
这件事争议最大的地方，就在这里。
从用户直觉看，当然会觉得这很像漏洞。
因为“保存的密码以明文留在内存中”这件事，本身就足够吓人。
但微软长期公开的安全文档，对浏览器密码管理器的威胁模型其实写得很清楚：
- 浏览器主要防的是磁盘数据被直接窃取
- 本地文件会加密存储
- 但如果攻击者已经在当前用户会话里运行代码，或者设备已被恶意软件控制，这通常不在浏览器主要防护范围内
换句话说，微软的立场更像是：
如果你的电脑已经被本地高权限恶意代码控制，浏览器本身并不承诺还能守住所有密码。
所以这次事件更准确的说法不是：
- “Edge 被远程黑客一碰就爆”
而是：
- Edge 的密码管理机制，在本地已受控环境下存在非常大的安全争议
这也是为什么很多报道会用“by design”这个说法。
三、Chrome 会不会也中招？
这是很多人最关心的问题。
截至 2026 年 5 月 6 日，公开报道和这次研究者对比里传递出的信息是：
Chrome 没有被曝出和 Edge 这次同一性质的问题。
更具体地说，公开资料普遍认为：
- Edge：被指会在启动后把所有保存密码整体解密进内存，并长期保留
- Chrome：更接近按需解密
- 也就是说，不是浏览器一启动就把整库密码长期明文挂在进程里
这并不代表 Chrome 绝对安全。
如果设备本身已经中了木马，Chrome 里的敏感数据照样可能有风险。
但至少在这次事件里，Chrome 没有被一起点名为“同样会在启动后把整库密码长期明文驻留内存”的浏览器。
所以如果你问一句最直接的话：
Chrome 目前没有被曝出和 Edge 这次一样的密码“裸奔”问题。
四、这次风险到底有多大？
如果你是普通个人用户，这次事情不需要恐慌到“马上断网”，但也绝对不该忽视。
风险更高的人群
下面这些场景，风险会明显更大：
- 公司电脑多人共用
- 远程桌面 / VDI / 实验室机器
- 本机已经装了来路不明软件
- 电脑可能已感染信息窃取木马
- 设备上存在本地管理员滥用风险
- 你把大量高敏感账号密码都存进了 Edge
风险相对较低的人群
如果你是下面这种情况，风险相对没那么直接：
- 自己单人使用的私人电脑
- 系统安全状况较好
- 没装乱七八糟的软件
- 有 Windows Hello / 设备锁屏保护
- 重要账号还有二步验证或通行密钥
也就是说，这件事不是“所有 Edge 用户马上都会被盗号”，但它确实说明：
把高敏感密码长期存在浏览器里，本身就是一种越来越值得重新评估的习惯。
五、2 步紧急防护，现在就能做
如果你现在还在用 Edge 保存密码，最值得立刻做的就是这两步。
第 1 步：开启“查看或自动填充前要求设备验证”
微软支持文档显示，Edge 正在推进基于设备的身份验证来保护查看和自动填充密码。
你现在就可以检查这个设置：
- 打开 Edge
- 进入
设置 > Passwords and autofill > Microsoft Password Manager - 打开类似下面这个选项：
Prompt for the device sign-in options before viewing or filling website password
也就是：
在查看密码或自动填充前，要求 Windows Hello、设备密码或系统级验证。
这一步不能解决“本机彻底失陷”这种根本问题，
但至少可以显著减少日常误用、旁观、临时接触设备等场景下的风险。
第 2 步：把高敏感账号从 Edge 密码管理器里迁出来
如果你的 Edge 里存了这些账号，建议优先迁移：
- 邮箱主账号
- 网银 / 支付账号
- 公司后台
- 域名 / 服务器 / 云平台账号
- 社交媒体主账号
- 常用开发平台账号
更稳妥的做法是：
- 改用独立密码管理器
- 重要账号开启 2FA
- 能换 Passkey 的尽量换 Passkey
- 不再把最核心账号只依赖浏览器保存
简单说：
不是所有密码都必须立刻清空，但高价值账号最好别继续裸放在浏览器默认密码库里。
六、要不要立即卸载 Edge？
如果按标题党那种写法，当然会说“立即卸载”。
但更实际一点的结论是：
你可以继续用 Edge，如果你：
- 本机安全状况良好
- 不在共享环境使用
- 已开启设备验证
- 不把最重要账号全存在里面
- 有 2FA / Passkey 兜底
你应该认真考虑迁移或降级使用 Edge，如果你：
- 设备环境复杂
- 企业机器多人共用
- 经常装不明软件
- 高敏感账号大量保存在 Edge
- 对本地凭据暴露特别敏感
所以我更建议的表达不是“无脑卸载”，而是：
立即检查你是否还把高价值密码继续存在 Edge 里。
这比情绪化卸载更有实际意义。
七、这次事件真正提醒我们的是什么？
这次争议最值得警惕的，其实不是“Edge 坏不坏”，而是一个更大的现实：
浏览器密码管理器很方便，但方便本身，永远是靠降低防护边界换来的。
过去很多人默认觉得：
- 只要存在浏览器里
- 只要磁盘是加密的
- 只要点“显示密码”时要验证
- 那就已经足够安全
但这次事件提醒大家：
磁盘加密、安全提示、自动填充验证，不等于进程内存层面的暴露问题也一起解决了。
尤其在 2026 年这种信息窃取木马越来越成熟的环境里，
“本地拿内存、拿 cookie、拿密码、拿会话”的攻击方式，本来就越来越常见。
结语
这次 Edge 密码“裸奔”争议，不一定是那种传统意义上的爆炸级远程漏洞，
但它绝对是一次值得所有用户重视的安全警报。
真正该记住的结论其实很简单：
- Edge 这次的争议点是真实存在的
- Chrome 目前没有被曝出同一性质的问题
- 最重要的不是恐慌卸载，而是立刻调整自己的密码管理习惯
如果你现在还在用 Edge 保存大量重要密码，
最值得立刻做的，不是争论这到底算不算漏洞，而是先完成这两件事：
- 开启设备验证
- 把高敏感账号迁出浏览器密码库
因为真正危险的，往往不是某一条新闻标题，
而是你看到新闻之后，什么都没改。