900,000 utilisateurs compromis : Comment choisir une...

L'Incident de Janvier 2026

Mis à jour pour 2026. En janvier 2026, des chercheurs en sécurité ont découvert deux add-ons Chrome malveillants avec plus de 900 000 utilisateurs.

Les noms ont été choisis pour ressembler à de vrais outils IA :

• "Chat GPT for Chrome with GPT-5, Claude Sonnet & DeepSeek AI" — plus de 600 000 utilisateurs
• "AI Sidebar with Deepseek, ChatGPT, Claude and more" — plus de 300 000 utilisateurs

Les deux faisaient la même chose. Ils envoyaient des conversations complètes ChatGPT et DeepSeek à un serveur distant toutes les 30 minutes.

Les données volées comprenaient du code source, des informations personnelles, des discussions juridiques, des plans commerciaux et des données financières. Chaque message tapé par les utilisateurs — des contenus qu'ils croyaient privés — était transmis à des parties inconnues.

Comment les Add-Ons ont Contourné les Signaux de Confiance

Les outils demandaient à « collecter des données analytiques anonymes et non identifiables ». Cette formulation semble inoffensive.

En réalité, ils capturaient le contenu complet des chats IA. La demande d'analyse était la couverture. Le vol de conversations était le vrai but.

Cette astuce explique pourquoi cette menace continue de croître. Des utilisateurs qui ne cliqueraient jamais sur un lien de phishing ont installé ces outils intentionnellement. Ils provenaient du Chrome Web Store. Ils ressemblaient à de vrais outils IA.

Le Schéma Plus Large : 67 % des Add-Ons IA Collectent Vos Données

Le cas de janvier 2026 n'était pas unique. Des recherches d'Incogni ont révélé que 67 % des add-ons Chrome IA collectent activement les données des utilisateurs. Plusieurs études indépendantes confirment ce chiffre.

C'est le problème central. Les utilisateurs installent des outils pour protéger leur vie privée IA. Mais la plupart de ces outils collectent les données qu'ils prétendent protéger.

Le marché a créé une catégorie — les outils de confidentialité IA pour navigateurs. Il n'a pas créé de moyen de vérifier ces affirmations. Le résultat : l'outil de « protection » est lui-même la menace.

Apprenez-en plus dans notre glossaire de sécurité et notre documentation de conformité. Vous pouvez aussi consulter notre guide des entités pour voir comment nous classifions les risques IA.

Architecture Sûre vs. Non Sûre

Le cas de janvier 2026 montre un écart technique clé. Comprenez-le avant d'installer un outil de navigation IA.

Non sûr — acheminé via les serveurs du développeur :

1. L'utilisateur tape dans ChatGPT
2. L'outil capture le texte
3. L'outil envoie le texte à son propre serveur pour « traitement »
4. Le serveur renvoie le texte traité
5. L'outil envoie à ChatGPT

Chaque prompt passe par les systèmes du développeur. Si l'outil est malveillant, tout ce contenu est à risque.

Sûr — traitement local uniquement :

1. L'utilisateur tape dans ChatGPT
2. L'outil capture le texte
3. L'outil traite le texte localement dans le navigateur
4. Le texte traité va directement à ChatGPT

Rien ne quitte le navigateur sauf le texte final vers le service IA. Les serveurs du développeur ne sont jamais dans le chemin des données.

Posez une question : où se fait le traitement ? Si la réponse implique les propres serveurs du développeur, vos données transitent par un tiers.

Découvrez comment anonym.legal gère cela dans notre aperçu sécurité.

Cinq Questions à Poser Avant d'Installer un Outil IA

67 % des add-ons IA collectent des données utilisateurs. Des acteurs malveillants peuvent publier des outils sur le Chrome Web Store avec de nombreuses installations. Le processus d'évaluation est important. Ces cinq questions vous aident à faire un meilleur choix.

1. Où la détection des données personnelles est-elle traitée ? Vérifiez la politique de confidentialité. La détection se fait-elle dans le navigateur ou le texte est-il envoyé à un serveur ? Local signifie que le développeur ne voit jamais votre texte.

2. Que se passe-t-il avec le contenu des chats ? Les outils qui « protègent » en passant par leur propre proxy lisent tout ce que vous tapez. Les outils qui traitent le texte localement ne le font pas.

3. Qui est l'éditeur vérifié ? Les outils de janvier 2026 ont passé les vérifications du Web Store. Un éditeur avec un nom clair et un vrai modèle commercial reste plus fiable qu'un éditeur anonyme avec un outil gratuit sans revenus.

4. Y a-t-il une certification de sécurité indépendante ? ISO 27001 couvre la façon dont un fournisseur construit et livre des logiciels. Les audits indépendants vérifient les affirmations que le marketing seul ne peut pas prouver.

5. Quel est le modèle économique ? Le signal le plus clair : comment un outil gratuit gagne-t-il de l'argent ? S'il n'y a pas de source de revenus, vos données sont probablement le produit.

Consultez notre FAQ pour les questions courantes sur la sécurité des navigateurs IA.

Ce que l'Incident Révèle sur la Sécurité IA

Les 900 000+ utilisateurs concernés n'étaient pas négligents. C'étaient des professionnels qui voulaient des outils IA et de la confidentialité. Ils ont installé ce qui ressemblait à de vrais produits du Chrome Web Store.

L'attaque a fonctionné pour quatre raisons.

Les outils avaient de vraies fonctionnalités. Ils n'étaient pas purement malveillants. Ils offraient des fonctions IA en plus du vol de données. Cela les rendait identiques aux vrais produits lors d'une utilisation normale.

Les signaux de confiance étaient fabriqués. Des centaines de milliers d'utilisateurs créent une preuve sociale. Voir 600 000 installations incitait davantage de personnes à installer, pas moins.

La demande de permission semblait sûre. « Analytiques anonymes et non identifiables » est le type de langage que les utilisateurs acceptent sans lire.

Le vol fonctionnait sur un minuteur. Des intervalles de 30 minutes capturent chaque chat. Ils sont aussi assez rares pour éviter les alertes de sécurité basées sur les anomalies.

Le Cadre de Confiance Post-Incident

Après janvier 2026, les équipes informatiques d'entreprise ont besoin d'une révision plus stricte des outils de navigation IA.

Les éléments minimum requis :

• Traitement local — vérifié par audit, pas seulement affirmé dans le marketing
• Identité de l'éditeur — entreprise connue avec un modèle commercial et un historique vérifiables
• Certification de sécurité indépendante — ISO 27001 ou équivalent
• Politique de confidentialité claire — ce qui est collecté, où cela va et quand
• Pas d'acheminement via les serveurs du développeur pour les fonctions de confidentialité principales

Les équipes déployant des outils IA pour de grandes équipes devraient aussi :

• Auditer les outils installés pour détecter l'exfiltration de données
• Surveiller les connexions externes inattendues depuis les processus du navigateur
• Gérer les outils approuvés via la politique Chrome Enterprise

Le cas de janvier 2026 était un avertissement. Le taux de collecte de 67 % parmi les outils IA montre que l'avertissement était justifié.

Pour des conseils en entreprise, consultez notre centre de conformité et nos études de cas. Notre déclaration du fondateur explique comment nous avons construit anonym.legal autour du traitement local. Pour les tarifs entreprise, visitez tarification.

L'outil Chrome d'anonym.legal traite la détection des données personnelles localement. Aucun contenu de conversation n'atteint les serveurs d'anonym.legal pendant la détection. L'anonymisation se produit dans le navigateur avant l'envoi du prompt modifié au service IA. Publié par anonym.legal, certifié ISO 27001.

Sources

• The Hacker News : Deux extensions Chrome surprises à voler des conversations ChatGPT et DeepSeek
• OX Security : Des extensions Chrome IA malveillantes volent des conversations ChatGPT/DeepSeek
• Incogni : Classement des extensions Chrome alimentées par IA par risque de confidentialité
• Caviard.ai : Meilleures extensions Chrome de confidentialité pour assistants IA