Το Πρόβλημα των Ανέλεγκτων Επεκτάσεων
Το Chrome Web Store περιέχει πάνω από 180.000 επεκτάσεις. Πολλές από αυτές — ιδίως εκείνες που προσθέτουν δυνατότητες AI στην περιήγηση — ζητούν ευρείες άδειες: πρόσβαση σε όλο το περιεχόμενο ιστοτόπων, πρόσβαση στο πρόχειρο, πρόσβαση στον χώρο αποθήκευσης και παρεμβολή στα αιτήματα δικτύου.
Έρευνα USENIX 2025 διαπίστωσε ότι το 83% των επεκτάσεων Chrome με ευρείες άδειες δεν έχει υποβληθεί ποτέ σε έλεγχο ασφαλείας. Αυτές οι επεκτάσεις δημιουργήθηκαν, δημοσιεύθηκαν και εγκαταστάθηκαν από εκατομμύρια χρήστες χωρίς καμία ανεξάρτητη επαλήθευση ότι κάνουν αυτό που ισχυρίζονται — και τίποτα παραπάνω.
Το κενό ελέγχου ασφαλείας αποτελεί δομικό χαρακτηριστικό του τρόπου με τον οποίο διανέμονται οι επεκτάσεις προγράμματος περιήγησης. Το Chrome Web Store διενεργεί αυτοματοποιημένη σάρωση για υπογραφές κακόβουλου λογισμικού και παραβιάσεις πολιτικής, αλλά αυτή δεν μπορεί να αξιολογήσει αν οι πρακτικές συλλογής δεδομένων μιας επέκτασης αποκαλύπτονται με ακρίβεια, αν τα δεδομένα API μεταδίδονται σε μη αποκαλυφθέντα τρίτα μέρη, ή αν η δηλωμένη λειτουργικότητα της επέκτασης είναι η πλήρης λειτουργικότητά της.
Η Εταιρική Έκθεση
Έρευνα της Forrester Research 2024 διαπίστωσε ότι το 45% των εταιρικών υπαλλήλων χρησιμοποιεί επεκτάσεις προγράμματος περιήγησης που δεν έχουν εγκριθεί από το IT. Το εύρημα αντικατοπτρίζει τον ανεπίσημο τρόπο με τον οποίο συνήθως υιοθετούνται οι επεκτάσεις: ένας υπάλληλος βρίσκει ένα εργαλείο παραγωγικότητας, το εγκαθιστά και το χρησιμοποιεί — χωρίς καμία αλληλεπίδραση με το τμήμα IT.
Ο συνδυασμός «83% ανέλεγκτο» και «45% μη εγκεκριμένο» σημαίνει ότι σχεδόν οι μισοί εταιρικοί υπάλληλοι χρησιμοποιούν επεκτάσεις των οποίων οι ιδιότητες ασφαλείας δεν έχουν επαληθευθεί από κανέναν — και η χρήση τους δεν έχει εγκριθεί από τον οργανισμό που φέρει ευθύνη για τα δεδομένα που χειρίζονται αυτοί οι υπάλληλοι.
Για οργανισμούς σε ρυθμιζόμενους κλάδους, αυτό δημιουργεί άμεση έκθεση συμμόρφωσης. Ένας υπάλληλος HR που χρησιμοποιεί μια μη εγκεκριμένη επέκταση προγράμματος περιήγησης που συλλέγει περιεχόμενο πρόχειρου ενδέχεται να έχει εκθέσει προσωπικά δεδομένα υπαλλήλων σε μη ελεγμένο τρίτο μέρος. Ένας νομικός επαγγελματίας που χρησιμοποιεί μη εγκεκριμένο βοηθό AI γραφής που έχει πρόσβαση στο περιεχόμενο της σελίδας ενδέχεται να έχει εκθέσει εμπιστευτικές πληροφορίες πελατών.
Τι Αποδεικνύει το Περιστατικό των 900.000 Χρηστών
Το περιστατικό Ιανουαρίου 2026 κατά το οποίο κακόβουλες επεκτάσεις Chrome εξέθεσαν τα ιστορικά συνομιλιών AI 900.000 χρηστών — 600.000 από μία επέκταση, 300.000 από άλλη — αποδεικνύει τον τρόπο αστοχίας που περιγράφει το 83% ανέλεγκτων επεκτάσεων.
Οι επεκτάσεις φαινόταν να παρέχουν νόμιμη λειτουργικότητα σχετική με AI. Ήταν διαθέσιμες στο Chrome Web Store. Είχαν βάση χρηστών αρκετά μεγάλη ώστε να υποδηλώνει νομιμότητα. Και εξήγαν περιεχόμενο συνομιλιών AI σε εξωτερικούς διακομιστές.
Η εξαγωγή ολοκληρώθηκε εντός 30 λεπτών από την εγκατάσταση. Μέχρι να εντοπίσουν και να αναφέρουν τις επεκτάσεις οι ερευνητές ασφαλείας, το περιεχόμενο συνομιλιών 900.000 χρηστών — συμπεριλαμβανομένων οποιωνδήποτε ευαίσθητων πληροφοριών είχαν συζητήσει αυτοί οι χρήστες με εργαλεία AI — είχε φύγει από τον έλεγχό τους.
Έρευνα της Caviard.ai (2025) διαπίστωσε ότι το 67% των επεκτάσεων Chrome με AI συλλέγει δεδομένα χρηστών — η πλειονότητα της κατηγορίας επεκτάσεων AI. Από αυτές που συλλέγουν δεδομένα, η αποκάλυψη, οι πρακτικές ασφαλείας και οι προορισμοί μετάδοσης ποικίλλουν σε μεγάλο βαθμό.
Το Πλαίσιο Διακυβέρνησης Εταιρικού Προγράμματος Περιήγησης
Για τις εταιρικές ομάδες ασφαλείας, η κατάλληλη απόκριση στο πρόβλημα των ανέλεγκτων επεκτάσεων δεν είναι να απαγορεύσουν όλες τις επεκτάσεις προγράμματος περιήγησης — ο επιχειρησιακός αντίκτυπος αυτής της προσέγγισης είναι σημαντικός. Είναι να δημιουργήσουν ένα πλαίσιο διακυβέρνησης που περιορίζει την έκθεση σε ελεγμένες, εγκεκριμένες επεκτάσεις ειδικά για λειτουργικότητα AI.
Λίστα επιτρεπόμενων επεκτάσεων: Ορισμός της εγκεκριμένης λίστας επεκτάσεων προγράμματος περιήγησης για εταιρικές συσκευές. Αναθεώρηση από την ομάδα ασφαλείας πριν από την προσθήκη στη λίστα. Εφαρμογή πολιτικής Chrome Enterprise αποτρέπει την εγκατάσταση μη επιτρεπόμενων επεκτάσεων.
Ειδικός έλεγχος επεκτάσεων AI: Επεκτάσεις που επεξεργάζονται προτροπές AI λαμβάνουν πρόσθετη εξέταση — ανάλυση κυκλοφορίας δικτύου για επιβεβαίωση προορισμών μετάδοσης, αναθεώρηση εύρους αδειών και επαλήθευση ταυτότητας εκδότη.
Τεχνικοί έλεγχοι για περιεχόμενο AI: Για υπαλλήλους που χρησιμοποιούν εγκεκριμένα εργαλεία AI, οι τεχνικοί έλεγχοι σε επίπεδο προγράμματος περιήγησης (αντί να βασίζονται στη συμπεριφορά επεκτάσεων) υποκλέπτουν ευαίσθητο περιεχόμενο πριν φτάσει στους παρόχους AI. Αυτό αποσυνδέει την υποχρέωση ασφαλείας από την εμπιστοσύνη σε μεμονωμένες επεκτάσεις.
Το ποσοστό 83% ανέλεγκτων δεν αντιμετωπίζεται μέσω εκπαίδευσης χρηστών — οι χρήστες δεν μπορούν να ελέγξουν μόνοι τους τις επεκτάσεις Chrome. Αντιμετωπίζεται μέσω εταιρικής διακυβέρνησης που διαχωρίζει τις εγκεκριμένες από τις μη εγκεκριμένες, και μέσω τεχνικών ελέγχων που παρέχουν προστασία δεδομένων ανεξάρτητα από τη συμπεριφορά των επεκτάσεων.
Πηγές: