Diperbarui untuk 2026
Sebagian Besar Ekstensi AI Tidak Pernah Diaudit
Chrome Web Store menampung lebih dari 180.000 ekstensi browser. Banyak di antaranya — terutama alat AI — meminta akses luas. Mereka membaca setiap halaman yang Anda kunjungi. Mereka melihat clipboard Anda. Mereka dapat memblokir atau mengubah permintaan jaringan.
USENIX Security 2025 menemukan bahwa 83% ekstensi Chrome dengan izin luas tidak pernah diaudit. Pengembang membuatnya, menerbitkannya, dan pengguna menginstalnya jutaan kali. Tidak ada yang memeriksa apakah setiap alat hanya melakukan apa yang diklaim.
Kesenjangan ini bersifat struktural. Chrome Web Store memindai malware yang diketahui. Memperiksa aturan kebijakan. Tidak dapat mengkonfirmasi apakah pengumpulan data sepenuhnya diungkapkan. Tidak dapat mendeteksi apakah data mengalir ke pihak ketiga yang tersembunyi.
Setengah Karyawan Enterprise Menjalankan Alat Tidak Disetujui
Laporan Keamanan Browser Enterprise LayerX 2025 menemukan bahwa 45% karyawan enterprise menggunakan ekstensi browser yang tidak pernah disetujui IT. Polanya umum. Seorang karyawan menemukan alat yang berguna. Mereka menginstalnya. IT tidak pernah tahu.
Gabungkan 83% tidak diaudit dengan 45% tidak disetujui. Hampir setengah karyawan enterprise mungkin menjalankan alat yang keamanannya belum pernah diperiksa. Karyawan tersebut menangani data perusahaan yang sensitif setiap hari.
Bagi sektor yang diatur, risikonya langsung. Karyawan HR yang menggunakan alat tidak terverifikasi yang membaca konten clipboard mungkin telah mengirim data pribadi ke pihak ketiga yang tidak diketahui. Pengacara yang menggunakan alat penulisan AI tidak terverifikasi mungkin telah mengirim data klien ke pihak yang tidak diketahui. Lihat panduan kepatuhan hukum kami untuk cara risiko ini dipetakan ke GDPR, HIPAA, dan kerangka terkait.
Apa yang Ditunjukkan Insiden 900 Ribu Pengguna
Insiden yang dilaporkan pada awal 2026 menunjukkan mode kegagalan ini. Ekstensi Chrome jahat mengekspos log chat AI sekitar 900.000 pengguna. Sekitar 600.000 berasal dari satu alat. Sekitar 300.000 dari alat lainnya. Keduanya tampak menawarkan fitur AI nyata. Keduanya terdaftar di Chrome Web Store. Keduanya memiliki basis pengguna besar.
Pencurian data selesai dalam 30 menit setelah instalasi. Pada saat peneliti menemukan alat tersebut, hampir satu juta pengguna telah kehilangan kendali atas riwayat chat AI mereka. Itu mencakup konten sensitif apa pun yang pernah mereka ketik.
Studi Incogni 2025 menemukan bahwa 67% ekstensi AI Chrome mengumpulkan data pengguna. Praktik pengumpulan, pengungkapan, dan target data sangat bervariasi di seluruh kelompok tersebut. Lihat gambaran umum keamanan dan kepatuhan kami untuk cara kontrol tingkat browser dibandingkan dengan mempercayai perilaku masing-masing alat.
Kerangka Tata Kelola Enterprise
Memblokir semua ekstensi browser tidak realistis. Biayanya terlalu tinggi. Respons yang tepat adalah kerangka tata kelola yang membatasi eksposur pada alat yang telah diverifikasi dan disetujui — terutama untuk penggunaan AI.
Allowlisting ekstensi. Tentukan ekstensi mana yang diizinkan pada perangkat enterprise. Wajibkan tinjauan keamanan sebelum menambahkan alat baru. Gunakan kebijakan Chrome Enterprise untuk memblokir instalasi di luar daftar yang disetujui.
Tinjauan lebih ketat untuk alat AI. Setiap ekstensi yang menangani prompt AI mendapat pengawasan ekstra. Periksa lalu lintas jaringan untuk melihat ke mana data pergi. Tinjau cakupan izin penuh. Verifikasi identitas penerbit.
Kontrol tingkat browser. Untuk alat AI yang disetujui, terapkan kontrol yang mencegat konten sensitif sebelum mencapai penyedia AI. Ini menghilangkan kebutuhan untuk mempercayai perilaku masing-masing ekstensi.
Tingkat 83% tidak diaudit bukan masalah yang bisa diselesaikan pengguna. Pengguna tidak bisa mengaudit ekstensi Chrome sendiri. Tata kelola enterprise — daftar yang disetujui, penegakan kebijakan, dan kontrol teknologi — adalah jawaban yang andal. Lihat FAQ dan glosarium istilah DLP browser kami untuk informasi lebih lanjut.
Ekstensi Chrome anonym.legal menjalankan pemindaian PII secara lokal di browser. Tidak ada konten chat yang mencapai server anonym.legal selama pemindaian. Prompt yang dimodifikasi dan disamarkan adalah yang dikirim ke layanan AI.