L'incident de janvier 2026
Mis à jour pour 2026. En janvier 2026, deux extensions Chrome malveillantes ont été découvertes avec plus de 900 000 utilisateurs.
Leurs noms ressemblaient à de vrais outils IA :
- "Chat GPT for Chrome with GPT-5, Claude Sonnet and DeepSeek AI" — plus de 600 000 utilisateurs
- "AI Sidebar with Deepseek, ChatGPT, Claude and more" — plus de 300 000 utilisateurs
Les deux faisaient la même chose. Toutes les 30 minutes, elles envoyaient des conversations IA complètes à un serveur distant. Les données volées comprenaient du code, des informations personnelles, des notes juridiques et des plans d'affaires. Astrix Security l'a confirmé.
Ces extensions demandaient à « collecter des données analytiques anonymes et non identifiables. » Ce libellé semble inoffensif. Ce ne l'était pas. Les données collectées étaient entièrement identifiables et très sensibles.
Le problème de l'inversion de sécurité
Les utilisateurs qui installent des outils de confidentialité IA cherchent une protection. L'incident de janvier 2026 montre le pire résultat : l'outil installé pour la confidentialité vole vos données.
Ce n'est pas une théorie. Cela a touché 900 000 utilisateurs d'un coup. L'analyse automatique du Chrome Web Store ne l'a pas détecté. Les avis des utilisateurs ne l'ont pas révélé. Le vol était caché sous forme d'« analyse ».
Incogni a découvert que 67 % des extensions Chrome IA collectent activement des données utilisateur. Pour les équipes IT, la bonne question n'est pas « est-ce que cela collecte des données ? » mais : « puis-je vérifier que cette extension ne peut pas envoyer le contenu des conversations à un tiers ? »
Le test de vérification de l'architecture
Il existe un test fiable pour le traitement local : la surveillance réseau.
Une extension qui détecte les données personnelles localement produit zéro trafic sortant pendant la détection. Aucune connexion à un serveur externe ne devrait apparaître entre le collage de l'utilisateur et la soumission à la plateforme IA. Seul le texte traité est envoyé.
Une extension qui route le trafic via un proxy envoie votre contenu à un serveur tiers. Cet opérateur de serveur fait maintenant partie de votre modèle de menace.
Les étapes de vérification IT sont simples :
- Déployer l'extension dans un réseau surveillé
- Exécuter des prompts de test
- Vérifier les connexions sortantes vers les serveurs de l'éditeur pendant le traitement des données personnelles
Si elle échoue à ce test, ne l'approuvez pas. Les affirmations marketing ne comptent pas. Le trafic réseau est la preuve.
Le traitement local est fiable parce qu'il est vérifiable. Vous n'avez pas besoin de faire confiance à l'éditeur. Vous pouvez observer le comportement directement. L'extension Chrome d'anonym.legal envoie le texte à l'API d'anonym.legal hébergée dans l'UE (Hetzner, Falkenstein) pour la détection des PII ; seul le texte assaini parvient au service IA. Consultez notre aperçu de sécurité des extensions Chrome et notre guide de conformité.
Ce que les équipes IT doivent exiger
Après janvier 2026, la barre pour les outils IA de navigateur doit être plus haute.
La liste minimale :
- Traitement local — vérifié par audit réseau, pas seulement déclaré
- Éditeur connu — vraie entreprise, modèle commercial clair
- Certification indépendante — ISO 27001 ou équivalent
- Pas de routage via les serveurs du développeur pour les fonctions de confidentialité principales
La plupart des extensions IA de navigateur ne passeront pas cette liste. Le taux de collecte de 67 % le rend évident. Un nombre d'installations élevé n'est pas un signal de sécurité. Les outils de janvier 2026 avaient des centaines de milliers d'utilisateurs avant que quiconque ne vérifie.
Pour en savoir plus sur les extensions IA sûres, consultez notre page sécurité et conformité.