Die Januarie 2026 Voorval
Bygewerk vir 2026. In Januarie 2026 is twee kwaadwillige Chrome-byvoegings met 900 000+ gebruikers gevind.
Hulle name het soos egte KI-nutsgoed gelyk:
- "Chat GPT for Chrome with GPT-5, Claude Sonnet and DeepSeek AI" -- 600 000+ gebruikers
- "AI Sidebar with Deepseek, ChatGPT, Claude and more" -- 300 000+ gebruikers
Albei het dieselfde gedoen. Elke 30 minute het hulle volledige KI-gesprekke na 'n afgeleë bediener gestuur. Die gesteelde data het kode, persoonlike besonderhede, regsnote en besigheidplanne ingesluit. Astrix Security het dit bevestig.
Hierdie byvoegings het gevra om "anonieme, nie-identifiseerbare analitiese data te versamel." Daai bewoording klink veilig. Dit was nie. Die data wat versamel is, was ten volle identifiseerbaar en hoogs sensitief.
Die Sekuriteitsomskeringprobleem
Gebruikers wat KI-privaatheidnutsgoed installeer, wil beskerming he. Die Januarie 2026-geval toon die ergste resultaat: die nutsmiddel wat jy vir privaatheid geinstalleer het, is die een wat jou data steel.
Dit is nie 'n teorie nie. Dit het 900 000 gebruikers gelyktydig getref. Chrome Web Store-skandering het dit nie opgespoor nie. Gebruikersresensies het dit nie ontbloot nie. Die diefstal was as "analitiek" versteek.
Incogni het bevind dat 67% van KI Chrome-byvoegings aktief gebruikersdata versamel. Vir IT-spanne is die sleutelvraag nie "versamel dit enige data nie?" Dit is: "kan ek verifieer dat hierdie byvoeging nie gesprekinhoud na 'n derde party kan stuur nie?"
Die Argitektuurverifikasietoets
Daar is een betroubare kontrole vir plaaslike verwerking: netwerkmonifering.
'n Byvoeging wat PII plaaslik opspoor, produseer nul uitgaande verkeer tydens opsporing. Geen verbinding na enige eksterne bediener moet verskyn tussen 'n gebruiker se plak en die KI-platformindiening nie. Slegs die verwerkte aansporing gaan uit.
'n Byvoeging wat verkeer deur 'n instaanbediener stuur, stuur jou inhoud na 'n derde-party-bediener. Daai bedieneroperateur is nou binne jou bedreigingsmodel.
Die IT-verifikasiestappe is eenvoudig:
- Ontplooi die byvoeging in 'n gemonitorde netwerk
- Voer toetsaansporing uit
- Kyk na uitgaande verbindings met die uitgewer se bedieners tydens PII-verwerking
As dit hierdie toets misluk, keur dit nie goed nie. Bemarkingsaansprake maak nie saak nie. Netwerkverkeer is die bewys.
Plaaslike verwerking is vertrouenswaardig omdat dit verifieerbaar is. Jy hoef nie die uitgewer te vertrou nie. Jy kan die gedrag direk waarneem. Sien hoe anonym.legal dit hanteer in ons Chrome-uitbreiding sekuriteitsoorsig en nakomingsgids.
Wat IT-Spanne Moet Vereis
Na Januarie 2026 moet die standaard vir KI-blaaiernutsgoed hoer wees.
Die minimumgids:
- Plaaslike verwerking -- geverifieer deur netwerkoudit, nie net beweer nie
- Bekende uitgewer -- werklike maatskappy, duidelike besigheidsmodel
- Onafhanklike sertifisering -- ISO 27001 of ekwivalent
- Geen ontwikkelaar-bediener-roetebepaling vir kern-privaatheidkenmerke nie
Die meeste KI-blaaierbyvoegings sal nie hierdie gids slaag nie. Die 67% versamelingkoers maak dit duidelik. Hoe installasietelling is nie 'n veiligheidssein nie. Die Januarie 2026-nutsgoed het honderde duisende gebruikers gehad voordat enigiemand nagegaan het.
Vir meer oor veilige KI-blaaiernutsgoed, sien ons sekuriteits- en nakomingsblad.