האירוע של ינואר 2026
עדכון 2026. בינואר 2026, חוקרי אבטחה גילו שני תוספי Chrome זדוניים עם 900,000+ משתמשים.
השמות נבחרו כדי להיראות כמו כלי בינה מלאכותית אמיתיים:
- "Chat GPT for Chrome with GPT-5, Claude Sonnet & DeepSeek AI" — 600,000+ משתמשים
- "AI Sidebar with Deepseek, ChatGPT, Claude and more" — 300,000+ משתמשים
שניהם עשו את אותו הדבר. הם שלחו שיחות ChatGPT ו-DeepSeek מלאות לשרת מרוחק כל 30 דקות.
הנתונים הגנובים כללו קוד מקור, פרטים אישיים, שיחות משפטיות, תוכניות עסקיות ורשומות כספיות. כל הודעה שהמשתמשים הקלידו — תוכן שחשבו שהוא פרטי — עבר לגורמים לא מזוהים.
כיצד התוספים עקפו אותות אמון
הכלים ביקשו "לאסוף נתוני אנליטיקה אנונימיים שאינם ניתנים לזיהוי." הניסוח הזה נשמע בטוח.
במציאות, הם לקחו תוכן שיחות בינה מלאכותית מלא. בקשת האנליטיקה הייתה הכיסוי. גנבת השיחות הייתה המטרה האמיתית.
הטריק הזה מסביר מדוע איום זה ממשיך לגדול. משתמשים שלא היו לוחצים על קישור פישינג התקינו כלים אלה בכוונה. הם הגיעו מחנות Chrome Web. הם נראו כמו כלי בינה מלאכותית אמיתיים.
הדפוס הרחב יותר: 67% מתוספי הבינה המלאכותית אוספים את הנתונים שלכם
מקרה ינואר 2026 לא היה ייחודי. מחקר של Incogni מצא ש67% מתוספי Chrome לבינה מלאכותית אוספים נתוני משתמשים באופן פעיל. מספר מחקרים עצמאיים מאשרים מספר זה.
זוהי הבעיה הליבתית. משתמשים מתקינים כלים להגן על פרטיות הבינה המלאכותית שלהם. אך רוב אותם כלים עצמם אוספים את הנתונים שהם טוענים להגן עליהם.
השוק יצר קטגוריה — כלי פרטיות בינה מלאכותית לדפדפנים. הוא לא בנה דרך למשתמשים לבדוק את הטענות הללו. התוצאה: כלי ה"הגנה" הוא האיום.
למדו עוד במילון האבטחה שלנו ומסמכי הציות שלנו. תוכלו גם לסקור כיצד אנו מסווגים סיכוני בינה מלאכותית במדריך נתוני הישויות שלנו.
ארכיטקטורה בטוחה לעומת לא בטוחה
מקרה ינואר 2026 מציג פער טכני מרכזי. דעו זאת לפני התקנת כל כלי דפדפן לבינה מלאכותית.
לא בטוח — מנותב דרך שרתי המפתח:
- משתמש מקליד ב-ChatGPT
- הכלי לוכד את הטקסט
- הכלי שולח טקסט לשרת שלו ל"עיבוד"
- השרת מחזיר טקסט מעובד
- הכלי שולח ל-ChatGPT
כל בקשה עוברת דרך מערכות המפתח. אם הכלי זדוני, כל התוכן הזה בסיכון.
בטוח — עיבוד מקומי בלבד:
- משתמש מקליד ב-ChatGPT
- הכלי לוכד את הטקסט
- הכלי מעבד את הטקסט מקומית בדפדפן
- טקסט מעובד הולך ישירות ל-ChatGPT
כלום לא עוזב את הדפדפן חוץ מהטקסט הסופי לשירות הבינה המלאכותית. שרתי המפתח לעולם לא נמצאים בנתיב.
שאלו שאלה אחת: היכן מתרחש העיבוד? אם התשובה היא שרתי המפתח עצמם, הנתונים שלכם עוברים דרך צד שלישי.
ראו כיצד anonym.legal מטפלת בכך בסקירת האבטחה שלנו.
חמש שאלות לשאול לפני התקנת כלי דפדפן לבינה מלאכותית
67% מתוספי הבינה המלאכותית אוספים נתוני משתמשים. שחקנים גרועים יכולים לפרסם כלים בחנות Chrome Web Store עם ספירות התקנה גבוהות. תהליך הסקירה חשוב. חמש שאלות אלה עוזרות לקבל בחירה טובה יותר.
1. היכן מתעבד זיהוי PII? בדקו את מדיניות הפרטיות. האם הזיהוי נעשה בדפדפן, או שהטקסט הולך לשרת? מקומי אומר שהמפתח לעולם לא רואה את הטקסט שלכם.
2. מה קורה לתוכן שיחות? כלים ש"מגנים" על ידי ניתוב דרך ה-proxy שלהם קוראים כל מה שאתם מקלידים. כלים שמעבדים טקסט מקומית לא.
3. מי הוא המוציא לאור המאומת? הכלים של ינואר 2026 עברו בדיקות Web Store. עם זאת, מוציא לאור עם שם ברור ועסק אמיתי אמין יותר מאנונימי עם כלי חינמי וללא הכנסה.
4. האם יש אישור אבטחה עצמאי? ISO 27001 מכסה כיצד ספק בונה ומשלח תוכנה. ביקורות עצמאיות מאמתות טענות שלשיווק לא יכול.
5. מהו מודל העסקים? האות הברורה ביותר: כיצד כלי חינמי מרוויח כסף? אם אין מקור הכנסה, הנתונים שלכם הם ככל הנראה המוצר. כלי הקשור לשירות בתשלום יש לו פחות סיבה לאסוף נתונים בסתר.
ראו את השאלות הנפוצות שלנו לשאלות נפוצות על אבטחת דפדפן בינה מלאכותית.
מה האירוע חושף על אבטחת בינה מלאכותית
ה-900,000+ משתמשים לא היו רשלנים. הם היו אנשי מקצוע שרצו כלי בינה מלאכותית ופרטיות. הם התקינו מה שנראה כמו מוצרים אמיתיים מחנות Chrome Web.
התקפה עבדה מארבע סיבות.
לכלים היו תכונות אמיתיות. הם לא היו זדוניים בלבד. הם הציעו פונקציות בינה מלאכותית לצד גנבת הנתונים. זה גרם להם להיראות כמו מוצרים אמיתיים בשימוש רגיל.
אותות אמון זויפו. מאות אלפי משתמשים יוצרים הוכחה חברתית. ראיית 600,000 התקנות גרמה ליותר אנשים להתקין, לא לפחות.
בקשת ההרשאה נראתה בטוחה. "אנליטיקה אנונימית שאינה ניתנת לזיהוי" היא סוג השפה שמשתמשים מקבלים מבלי לקרוא.
הגנבה פעלה על טיימר. מרווחים של שלושים דקות לוכדים כל שיחה. הם גם נדירים מספיק כדי להימנע מהתראות אבטחה מבוססות חריגות.
מסגרת האמון שלאחר האירוע
לאחר ינואר 2026, צוותי IT ארגוניים זקוקים לסקירה מחמירה יותר של כלי דפדפן לבינה מלאכותית.
הפריטים המינימליים הנדרשים:
- עיבוד מקומי — מאומת על ידי ביקורת, לא רק נטען בשיווק
- זהות מוציא לאור — חברה ידועה עם מודל עסקי אמיתי והיסטוריה
- אישור אבטחה עצמאי — ISO 27001 או שווה
- מדיניות פרטיות ברורה — מה נאסף, לאן הולך, ומתי
- ללא ניתוב דרך שרתי המפתח לתכונות פרטיות ליבה
צוותים הפורסים כלי בינה מלאכותית לכוח עבודה גדול צריכים גם לשקול:
- לבקר כלי דפדפן מותקנים לדליפת נתונים
- לנטר חיבורים חיצוניים בלתי צפויים מתהליכי דפדפן
- לנהל כלים מאושרים דרך מדיניות Chrome Enterprise
מקרה ינואר 2026 היה אזהרה. שיעור האיסוף של 67% על פני כלי דפדפן לבינה מלאכותית מראה שהאזהרה הייתה מוצדקת.
להכוונה ארגונית, ראו את מרכז הציות שלנו ומקרי הבוחן שלנו. הצהרת המייסד שלנו מסבירה כיצד בנינו את anonym.legal סביב עיבוד מקומי מהתחלה. לפרטי תמחור לתוכנית הארגונית שלנו, בקרו בתמחור.
תוסף Chrome של anonym.legal מעבד זיהוי PII מקומית. אין תוכן שיחות שמגיע לשרתי anonym.legal במהלך זיהוי PII. האנונימיזציה מתרחשת בדפדפן לפני שהבקשה המשונה נשלחת לשירות הבינה המלאכותית. מפורסם על ידי anonym.legal, מוסמך ISO 27001.