L'Incident del Gener del 2026
Actualitzat per al 2026. El gener del 2026, es van trobar dos complements maliciosos de Chrome amb mes de 900.000 usuaris.
Els seus noms semblaven eines d'IA reals:
- "Chat GPT for Chrome with GPT-5, Claude Sonnet and DeepSeek AI" -- mes de 600.000 usuaris
- "AI Sidebar with Deepseek, ChatGPT, Claude and more" -- mes de 300.000 usuaris
Tots dos feien el mateix. Cada 30 minuts, enviaven les xats d'IA complets a un servidor remot. Les dades robades incloien codi, dades personals, notes juridiques i plans de negoci. Astrix Security ho va confirmar.
Aquests complements demanaven "recollir dades d'analisi anonimes i no identificables". Aquella redaccio semblava segura. No ho era. Les dades recollides eren completament identificables i molt sensibles.
El Problema de la Inversio de Seguretat
Els usuaris que instal.len eines de privadesa d'IA volen proteccio. El cas del gener del 2026 mostra el pitjor resultat possible: l'eina que vas instal.lar per a la privadesa es la que esta robant les teves dades.
Aixo no es una teoria. Va passar a 900.000 usuaris alhora. L'escaneig de la Chrome Web Store no ho va detectar. Les ressenyes dels usuaris no ho van revelar. El robatori estava amagat com a "analisi".
Incogni va trobar que el 67% dels complements de Chrome d'IA recopilen activament dades dels usuaris. Per als equips d'IT, la pregunta clau no es "recull alguna dada?" Es: "puc verificar que aquest complement no pot enviar el contingut de les converses a un tercer?"
La Prova de Verificacio d'Arquitectura
Hi ha una verificacio fiable per al processament local: la monitoritzacio de xarxa.
Un complement que detecta PII localment produeix zero trafico de sortida durant la deteccio. No hauria d'apareixer cap connexio a cap servidor extern entre el pegat de l'usuari i l'enviament a la plataforma d'IA. Nomes surt el missatge processat.
Un complement que enruta el trafico a traves d'un proxy envia el teu contingut a un servidor de tercers. L'operador d'aquell servidor ara es dins del teu model d'amenaces.
Els passos de verificacio per a IT son senzills:
- Desplega el complement en una xarxa monitoritzada
- Executa missatges de prova
- Comprova les connexions de sortida als servidors de l'editor durant el processament de PII
Si no supera aquesta prova, no l'aproveu. Les afirmacions de marketing no importa. El trafico de xarxa es la prova.
El processament local es fiable perque es verificable. No cal confiar en l'editor. Pots observar el comportament directament. L'extensio de Chrome d'anonym.legal envia text a l'API allotjada a la UE d'anonym.legal (Hetzner, Falkenstein) per detectar PII; nomes el text sanejat arriba al servei d'IA. Consulta la nostra visio general de seguretat de l'extensio de Chrome i la guia de compliment.
Que Han d'Exigir els Equips d'IT
Despres del gener del 2026, el llistell per a les eines del navegador d'IA ha de ser mes alt.
La llista minima:
- Processament local -- verificat per auditoria de xarxa, no nomes afirmat
- Editor conegut -- empresa real, model de negoci clar
- Certificacio independent -- ISO 27001 o equivalent
- Sense enrutament pel servidor del desenvolupador per a les funcions principals de privadesa
La majoria d'eines del navegador d'IA no superaran aquesta llista. La taxa de recopilacio del 67% ho deixa clar. Un nombre alt d'instal.lacions no es un senyal de seguretat. Les eines del gener del 2026 tenien centenars de milers d'usuaris abans que algu ho comprovés.
Per a mes informacio sobre eines segures del navegador d'IA, consulta la nostra pagina de seguretat i compliment.