Insiden Januari 2026
Diperbarui untuk 2026. Pada Januari 2026, peneliti keamanan menemukan dua add-on Chrome berbahaya dengan 900.000+ pengguna.
Namanya dipilih agar terlihat seperti alat AI asli:
- "Chat GPT for Chrome with GPT-5, Claude Sonnet & DeepSeek AI" — 600.000+ pengguna
- "AI Sidebar with Deepseek, ChatGPT, Claude and more" — 300.000+ pengguna
Keduanya melakukan hal yang sama. Mereka mengirimkan obrolan ChatGPT dan DeepSeek penuh ke server jarak jauh setiap 30 menit.
Data yang dicuri mencakup kode sumber, detail pribadi, percakapan hukum, rencana bisnis, dan catatan keuangan. Setiap pesan yang diketik pengguna — konten yang mereka pikir bersifat privat — pergi ke pihak yang tidak dikenal.
Cara Add-On Melewati Sinyal Kepercayaan
Alat tersebut meminta untuk "mengumpulkan data analitik anonim dan tidak dapat diidentifikasi." Kata-kata itu terdengar aman.
Pada kenyataannya, mereka mengambil konten obrolan AI penuh. Permintaan analitik adalah kedoknya. Pencurian obrolan adalah tujuan nyatanya.
Trik ini menjelaskan mengapa ancaman ini terus berkembang. Pengguna yang tidak akan mengklik tautan phishing memasang alat ini dengan sengaja. Alat itu berasal dari Chrome Web Store. Terlihat seperti alat AI asli.
Pola yang Lebih Luas: 67% Add-On AI Mengumpulkan Data Anda
Kasus Januari 2026 tidak unik. Penelitian oleh Incogni menemukan bahwa 67% add-on Chrome AI secara aktif mengumpulkan data pengguna. Beberapa studi independen mengkonfirmasi angka ini.
Inilah masalah intinya. Pengguna memasang alat untuk melindungi privasi AI mereka. Tetapi sebagian besar alat yang sama itu mengumpulkan data yang mereka klaim untuk dilindungi.
Pasar menciptakan kategori — alat privasi AI untuk browser. Tidak membangun cara bagi pengguna untuk memverifikasi klaim tersebut. Hasilnya: alat "perlindungan" adalah ancamannya.
Pelajari lebih lanjut di glosarium keamanan dan dokumen kepatuhan kami. Anda juga dapat meninjau cara kami mengkategorikan risiko AI dalam panduan data entitas kami.
Arsitektur Aman vs. Tidak Aman
Kasus Januari 2026 menunjukkan kesenjangan teknis utama. Ketahui ini sebelum memasang alat browser AI apa pun.
Tidak aman — dirutekan melalui server pengembang:
- Pengguna mengetik ke ChatGPT
- Alat menangkap teksnya
- Alat mengirim teks ke servernya sendiri untuk "pemrosesan"
- Server mengembalikan teks yang diproses
- Alat mengirim ke ChatGPT
Setiap prompt melewati sistem pengembang. Jika alat itu berbahaya, semua konten itu berisiko.
Aman — pemrosesan lokal saja:
- Pengguna mengetik ke ChatGPT
- Alat menangkap teksnya
- Alat memproses teks secara lokal di browser
- Teks yang diproses langsung pergi ke ChatGPT
Tidak ada yang meninggalkan browser kecuali teks akhir ke layanan AI. Server pengembang tidak pernah ada dalam jalur itu.
Ajukan satu pertanyaan: di mana pemrosesan terjadi? Jika jawabannya adalah server pengembang sendiri, data Anda melewati pihak ketiga.
Lihat cara anonym.legal menangani ini di ikhtisar keamanan kami.
Lima Pertanyaan Sebelum Memasang Alat Browser AI
67% add-on AI mengumpulkan data pengguna. Pelaku jahat dapat menerbitkan alat di Chrome Web Store dengan jumlah instalasi besar. Proses peninjauan penting. Lima pertanyaan ini membantu Anda membuat pilihan yang lebih baik.
1. Di mana deteksi PII diproses? Periksa kebijakan privasi. Apakah deteksi dilakukan di browser, atau apakah teks pergi ke server? Lokal berarti pengembang tidak pernah melihat teks Anda.
2. Apa yang terjadi pada konten obrolan? Alat yang "melindungi" dengan merutekan melalui proxy mereka sendiri membaca semua yang Anda ketik. Alat yang memproses teks secara lokal tidak.
3. Siapa penerbit yang diverifikasi? Alat Januari 2026 lulus pemeriksaan Web Store. Namun demikian, penerbit dengan nama yang jelas dan bisnis nyata lebih dapat dipercaya daripada yang anonim dengan alat gratis dan tanpa pendapatan.
4. Apakah ada sertifikasi keamanan independen? ISO 27001 mencakup cara vendor membangun dan mengirimkan perangkat lunak. Audit independen memverifikasi klaim yang tidak dapat dilakukan pemasaran.
5. Apa model bisnisnya? Sinyal yang paling jelas: bagaimana alat gratis menghasilkan uang? Jika tidak ada sumber pendapatan, data Anda kemungkinan adalah produknya. Alat yang terkait dengan layanan berbayar memiliki lebih sedikit alasan untuk mengumpulkan data secara diam-diam.
Lihat FAQ kami untuk pertanyaan keamanan browser AI yang umum.
Apa yang Diungkap Insiden tentang Keamanan AI
900.000+ pengguna bukan orang yang ceroboh. Mereka adalah profesional yang menginginkan alat AI dan privasi. Mereka memasang apa yang terlihat seperti produk nyata dari Chrome Web Store.
Serangan berhasil karena empat alasan.
Alat memiliki fitur nyata. Mereka tidak murni berbahaya. Mereka menawarkan fungsi AI di samping pencurian data. Ini membuat mereka terlihat seperti produk nyata selama penggunaan normal.
Sinyal kepercayaan dipalsukan. Ratusan ribu pengguna menciptakan bukti sosial. Melihat 600.000 instalasi membuat lebih banyak orang memasang, bukan lebih sedikit.
Permintaan izin tampak aman. "Analitik anonim dan tidak dapat diidentifikasi" adalah jenis bahasa yang diterima pengguna tanpa membaca.
Pencurian berjalan pada timer. Interval tiga puluh menit menangkap setiap obrolan. Mereka juga cukup jarang untuk menghindari peringatan keamanan berbasis anomali.
Kerangka Kepercayaan Pasca-Insiden
Setelah Januari 2026, tim IT perusahaan memerlukan tinjauan yang lebih ketat untuk alat browser AI.
Item minimum yang diperlukan:
- Pemrosesan lokal — diverifikasi oleh audit, bukan hanya diklaim dalam pemasaran
- Identitas penerbit — perusahaan yang dikenal dengan model bisnis dan sejarah nyata
- Sertifikasi keamanan independen — ISO 27001 atau setara
- Kebijakan privasi yang jelas — apa yang dikumpulkan, ke mana perginya, dan kapan
- Tidak ada perutean melalui server pengembang untuk fitur privasi inti
Tim yang menerapkan alat AI ke tenaga kerja besar juga harus mempertimbangkan:
- Audit alat browser yang terpasang untuk eksfiltrasi data
- Pantau koneksi eksternal yang tidak terduga dari proses browser
- Kelola alat yang disetujui melalui kebijakan Chrome Enterprise
Kasus Januari 2026 adalah peringatan. Tingkat koleksi 67% di seluruh alat browser AI menunjukkan peringatan itu layak diterima.
Untuk panduan perusahaan, lihat pusat kepatuhan dan studi kasus kami. Pernyataan pendiri kami menjelaskan bagaimana kami membangun anonym.legal di sekitar pemrosesan lokal sejak awal. Untuk informasi harga paket perusahaan, kunjungi harga.
Alat Chrome anonym.legal memproses deteksi PII secara lokal. Tidak ada konten percakapan yang mencapai server anonym.legal selama deteksi PII. Anonimisasi terjadi di browser sebelum prompt yang dimodifikasi dikirim ke layanan AI. Diterbitkan oleh anonym.legal, bersertifikat ISO 27001.