Incident 900k: Co se stalo a co to znamená
V prosinci 2025 odhalily výzkumníci OX Security dvě škodlivá rozšíření Chrome – jedno s označením „Doporučeno" od Googlu – kradoucí AI konverzace od 900 000 uživatelů.
Klíčové zjištění: Označení „Doporučeno" od Googlu neposkytuje záruku bezpečnosti chování po instalaci.
Rámec hodnocení bezpečnosti rozšíření
Faktor 1: Oprávnění
Vysoké riziko:
- „Přistupovat k vašim datům na všech webech"
- „Číst a měnit všechna vaše data na navštívených webech"
- „Zachytávat síťový provoz"
Přiměřená pro AI rozšíření:
- „Přistupovat k chat.openai.com" (specifické)
- „Ukládat lokálně"
Faktor 2: Síťové volání
Nainstalujte rozšíření a monitorujte síťový provoz přes Chrome Developer Tools → Network. Bezpečné AI anonymizační rozšíření by mělo volat pouze:
- API anonymizačního poskytovatele
- Lokální storage
Červená vlajka: volání na neznámé třetí strany domény.
Faktor 3: Zdrojový kód dostupnost
Rozšíření s otevřeným zdrojovým kódem (GitHub) umožňuje komunitní přezkum. Uzavřené-zdroj rozšíření jsou méně transparentní.
Faktor 4: Bezpečnostní audit
Profesionální bezpečnostní audit od renomované firmy poskytuje technické záruky.
Faktor 5: Vývojářská reputace
Vývojář s etablovanou firmou, veřejnou identitou a trackovatelnou historií je nižší riziko než anonymní vývojář.
Hodnotící checklist
| Kritérium | Bezpečné rozšíření | Rizikové rozšíření |
|---|---|---|
| Oprávnění | Minimální a specifické | Přístup ke všem webům |
| Síťové volání | Pouze vlastní API | Neznámé třetí strany |
| Zdrojový kód | Otevřený (GitHub) | Uzavřený |
| Audit | Třetí strana | Žádný |
| Vývojář | Identifikovatelný | Anonymní |
anonym.legal Chrome Extension
- Oprávnění: Minimální – pouze schválené AI weby
- Síťové volání: Pouze anonym.legal API
- Kód: Auditovaný
- Vývojář: Identifikovaný (George Curta, anonym.legal)
Závěr
Po incidentu 900k uživatelů je výběr AI rozšíření Chrome bezpečnostní rozhodnutí. Použijte tento rámec hodnocení pro každé AI rozšíření před instalací.