2026. aasta jaanuari intsident
Uuendatud 2026. aastaks. 2026. aasta jaanuaris leidsid turvauurijad kaks pahatahtlikku Chrome'i laiendust, millel oli üle 900 000 kasutaja.
Nimed valiti selleks, et meenutada päris tehisintellekti tööriistu:
- "Chat GPT for Chrome with GPT-5, Claude Sonnet & DeepSeek AI" - üle 600 000 kasutaja
- "AI Sidebar with Deepseek, ChatGPT, Claude and more" - üle 300 000 kasutaja
Mõlemad tegid sama asja. Nad saatsid täielikud ChatGPT ja DeepSeeki vestlused kaugserverisse iga 30 minuti järel.
Varastatud andmed sisaldasid lähtekoodi, isiklikke andmeid, õiguslikke arutelusid, äriplaane ja rahandusandmeid. Iga kasutajate sisestatud sõnum - sisu, mida nad pidasid privaatseks - läks tundmatutele isikutele.
Kuidas laiendused usaldusmärgid mööda hiilisid
Tööriistad palusid "koguda anonüümseid, mitte-identifitseeritavaid analüütilisi andmeid." See sõnastus kõlab turvaliselt.
Tegelikkuses haarasid need kogu tehisintellekti vestlussisu. Analüütika päring oli kate. Vestluste vargus oli tegelik eesmärk.
See trikk selgitab, miks see oht kasvab pidevalt. Kasutajad, kes ei klikiks andmepüügi lingil, installisid need tööriistad tahtlikult. Need pärinesid Chrome Web Store'ist. Need nägid välja nagu päris tehisintellekti tööriistad.
Laiem muster: 67% tehisintellekti laiendusest kogub sinu andmeid
- aasta jaanuari juhtum polnud ainulaadne. Incogni uuring leidis, et 67% tehisintellekti Chrome'i laiendusest kogub aktiivselt kasutajate andmeid. Mitmed sõltumatud uuringud kinnitavad seda arvu.
See on põhiprobleem. Kasutajad installisid tööriistu oma tehisintellekti privaatsuse kaitsmiseks. Kuid enamik neist tööriistadest kogub andmeid, mida nad väidavad kaitsvat.
Turg lõi kategooria - tehisintellekti privaatsustööriistad brauseritele. See ei loonud kasutajatele viisi neid väiteid kontrollida. Tulemus: "kaitsevahend" on oht ise.
Lisateave meie turvalisuse sõnastikus ja vastavuse dokumentides. Saad ka vaadata, kuidas me kategoriseerime tehisintellekti riski meie üksuste andmejuhendis.
Turvaline vs. ebaturvaline arhitektuur
- aasta jaanuari juhtum näitab võtmetähtsusega tehnilist lünka. Tea seda enne tehisintellekti brauseri tööriista installimist.
Ebaturvaline - suunatud arendaja serverite kaudu:
- Kasutaja kirjutab ChatGPT-sse
- Tööriist püüab teksti kinni
- Tööriist saadab teksti oma serverisse "töötlemiseks"
- Server tagastab töödeldud teksti
- Tööriist saadab ChatGPT-sse
Iga päring läbib arendaja süsteemid. Kui tööriist on pahatahtlik, on kogu see sisu ohus.
Turvaline - ainult kohalik töötlemine:
- Kasutaja kirjutab ChatGPT-sse
- Tööriist püüab teksti kinni
- Tööriist töötleb teksti lokaalselt brauseris
- Töödeldud tekst läheb otse ChatGPT-sse
Brauserist ei lahku midagi peale lõpliku teksti tehisintellekti teenusele. Arendaja serverid ei ole kunagi teel.
Esita üks küsimus: kus toimub töötlemine? Kui vastus on arendaja enda serverid, lähevad sinu andmed kolmanda osapoole kaudu.
anonym.legal-i Chrome'i laiendus saadab teksti anonym.legal-i ELis majutatud API-sse (Hetzner, Falkenstein) isikuandmete tuvastamiseks; tehisintellekti teenuseni jõuab ainult puhastatud tekst. Vaata meie turvalisuse ülevaadet.
Viis küsimust enne tehisintellekti brauseri tööriista installimist
67% tehisintellekti laiendusest kogub kasutajate andmeid. Pahad osalejad saavad avaldada tööriistu Chrome Web Store'is suure installiarvuga. Ülevaatuse protsess on oluline. Need viis küsimust aitavad teha parema valiku.
1. Kus töödeldakse isikuandmete tuvastamist? Kontrolli privaatsuspoliitikat. Kas tuvastamine toimub brauseris või läheb tekst serverisse? Kohalik tähendab, et arendaja ei näe sinu teksti kunagi.
2. Mis juhtub vestlussisuga? Tööriistad, mis "kaitsevad" oma puhveri kaudu suunates, loevad kõike, mida kirjutad. Tööriistad, mis töötlevad teksti lokaalselt, ei tee seda.
3. Kes on kinnitatud avaldaja? 2026. aasta jaanuari tööriistad läbisid Web Store kontrollid. Sellegipoolest on avaldaja selge nimega ja reaalse äriga usaldusväärsem kui anonüümne avaldaja tasuta tööriista ja ilma tuluta.
4. Kas on sõltumatu turvasertifikaat? ISO 27001 katab seda, kuidas tarnija tarkvara ehitab ja tarnib. Sõltumatud auditid kinnitavad väiteid, mida turundus ei suuda.
5. Mis on ärimudel? Selgeim signaal: kuidas tasuta tööriist raha teenib? Kui tuluallikat pole, on sinu andmed tõenäoliselt toode. Tasulise teenusega seotud tööriistal on vähem põhjust andmeid salaja koguda.
Vaata meie KKK-d tavapäraste tehisintellekti brauseri turvalisuse küsimuste jaoks.
Mida intsident paljastab tehisintellekti turvalisuse kohta
Üle 900 000 kasutaja polnud hoolimatud. Need olid spetsialistid, kes tahtsid tehisintellekti tööriistu ja privaatsust. Nad installisid midagi, mis nägi välja nagu päris tooted Chrome Web Store'ist.
Rünnak toimis neljal põhjusel.
Tööriistadel olid päris funktsioonid. Need polnud puhtalt pahatahtlikud. Nad pakkusid tehisintellekti funktsioone koos andmete vargusega. See pani neid tavalise kasutuse ajal välja nägema nagu päris tooteid.
Usaldusmärgid olid võltsitud. Sadade tuhandete kasutajate arv loob sotsiaalse tõestuse. 600 000 installatsiooni nähes installisid rohkem inimesed, mitte vähem.
Loaluba näis turvaline. "Anonüümsed, mitte-identifitseeritavad analüütikad" on keel, mida kasutajad aktsepteerivad lugemata.
Vargus toimus taimeriga. Kolmekümne minuti intervallid püüavad kinni kõik vestlused. Need on ka piisavalt haruldased, et vältida anomaaliapõhiseid turvahoiatusi.
Intsidentijärgne usaldusnurgas
Pärast 2026. aasta jaanuari vajavad ettevõtete IT-meeskonnad rangemat ülevaatust tehisintellekti brauseri tööriistadele.
Minimaalsed nõutavad üksused:
- Kohalik töötlemine - auditiga kinnitatud, mitte ainult turunduses väidetud
- Avaldaja identiteet - teadaolev ettevõte reaalse ärimudeli ja ajalooga
- Sõltumatu turvasertifikaat - ISO 27001 või samaväärne
- Selge privaatsuspoliitika - mida kogutakse, kuhu see läheb ja millal
- Ei marsruutimist arendaja serverite kaudu põhiliste privaatsusfunktsioonide jaoks
Suurtele töötajaskondadele tehisintellekti tööriistu juurutavad meeskonnad peaksid ka kaaluma:
- Auditeerida installitud brauseri laiendused andmete väljafiltreerimise osas
- Jälgida ootamatuid väliseid ühendusi brauserprotsessidest
- Hallata heakskiidetud tööriistu Chrome Enterprise poliitika kaudu
- aasta jaanuari juhtum oli hoiatus. 67% kogumine tehisintellekti brauseri tööriistades näitab, et hoiatus oli teenitud.
Ettevõtete juhiste jaoks vaata meie vastavuskeskust ja juhtumiuuringuid. Meie asutaja pöördumine selgitab, miks me anonym.legal-i lõime. Ettevõtte paketi hindade kohta vaata hinnad.
anonym.legal-i Chrome'i laiendus saadab teksti isikuandmete tuvastamiseks anonym.legal-i ELis majutatud API-le (Hetzner, Falkenstein); tehisintellekti teenuseni jõuab ainult puhastatud tekst. Avaldaja anonym.legal — majutatud Hetzneri ISO 27001 sertifikaadiga taristul.
Allikad
- The Hacker News: Kaks Chrome'i laiendust tabati varastamas ChatGPT ja DeepSeeki vestlusi
- OX Security: Pahatahtlikud tehisintellekti Chrome'i laiendused varastavad ChatGPT/DeepSeeki vestlusi
- Incogni: Tehisintellekti Chrome'i laienduste privaatsusriski järjestamine
- Caviard.ai: Parimad privaatsuslaiendused Chrome'is tehisintellekti assistentidele