Insiden Januari 2026
Diperbarui untuk 2026. Pada Januari 2026, dua add-on Chrome berbahaya ditemukan dengan 900.000+ pengguna.
Namanya terlihat seperti alat AI asli:
- "Chat GPT for Chrome with GPT-5, Claude Sonnet and DeepSeek AI" — 600.000+ pengguna
- "AI Sidebar with Deepseek, ChatGPT, Claude and more" — 300.000+ pengguna
Keduanya melakukan hal yang sama. Setiap 30 menit, mereka mengirim percakapan AI lengkap ke server jarak jauh. Data yang dicuri mencakup kode, informasi pribadi, catatan hukum, dan rencana bisnis. Hal ini dikonfirmasi oleh Astrix Security.
Add-on ini meminta izin untuk "mengumpulkan data analitik anonim dan tidak dapat diidentifikasi." Bunyi itu terdengar aman. Kenyataannya tidak. Data yang dikumpulkan sepenuhnya dapat diidentifikasi dan sangat sensitif.
Masalah Inversi Keamanan
Pengguna yang memasang alat privasi AI menginginkan perlindungan. Kasus Januari 2026 menunjukkan skenario terburuk: alat yang Anda pasang untuk privasi justru yang mencuri data Anda.
Ini bukan teori. Hal ini terjadi pada 900.000 pengguna sekaligus. Pemindaian Chrome Web Store tidak mendeteksinya. Ulasan pengguna tidak mengungkapkannya. Pencurian disembunyikan sebagai "analitik."
Incogni menemukan bahwa 67% add-on Chrome berbasis AI secara aktif mengumpulkan data pengguna. Bagi tim IT, pertanyaan kuncinya bukan "apakah ini mengumpulkan data?" melainkan: "dapatkah saya memverifikasi bahwa add-on ini tidak dapat mengirim konten percakapan ke pihak ketiga?"
Uji Verifikasi Arsitektur
Ada satu pemeriksaan andal untuk pemrosesan lokal: pemantauan jaringan.
Add-on yang mendeteksi PII secara lokal menghasilkan nol lalu lintas keluar selama proses deteksi. Tidak ada koneksi ke server eksternal mana pun yang seharusnya muncul antara pengguna menempel teks dan pengiriman ke platform AI. Hanya prompt yang telah diproses yang dikirim keluar.
Add-on yang mengarahkan lalu lintas melalui proxy mengirimkan konten Anda ke server pihak ketiga. Operator server tersebut kini berada dalam model ancaman Anda.
Langkah verifikasi IT sederhana:
- Deploy add-on di jaringan yang dipantau
- Jalankan prompt uji
- Periksa koneksi keluar ke server penerbit selama pemrosesan PII
Jika gagal uji ini, jangan setujui. Klaim pemasaran tidak relevan. Lalu lintas jaringan adalah buktinya.
Pemrosesan lokal dapat dipercaya karena dapat diverifikasi. Anda tidak perlu mempercayai penerbit. Anda dapat mengamati perilakunya secara langsung. Ekstensi Chrome anonym.legal mengirim teks ke API anonym.legal yang di-hosting di UE (Hetzner, Falkenstein) untuk deteksi PII; hanya teks yang sudah dibersihkan yang mencapai layanan AI. Lihat tinjauan keamanan ekstensi Chrome dan panduan kepatuhan kami.
Apa yang Harus Disyaratkan Tim IT
Setelah Januari 2026, standar untuk alat browser AI harus lebih tinggi.
Daftar minimum:
- Pemrosesan lokal — diverifikasi melalui audit jaringan, bukan sekadar diklaim
- Penerbit yang dikenal — perusahaan nyata, model bisnis yang jelas
- Sertifikasi independen — ISO 27001 atau setara
- Tanpa routing melalui server pengembang untuk fitur privasi inti
Sebagian besar add-on browser AI tidak akan lolos daftar ini. Tingkat pengumpulan data 67% membuktikannya. Jumlah instalasi yang tinggi bukan sinyal keamanan. Alat-alat Januari 2026 memiliki ratusan ribu pengguna sebelum ada yang memeriksa.
Untuk informasi lebih lanjut tentang alat browser AI yang aman, lihat halaman keamanan dan kepatuhan kami.