2026년 업데이트
대부분의 AI 확장 프로그램은 감사를 받지 않는다
Chrome 웹 스토어에는 18만 개 이상의 브라우저 확장 프로그램이 등록되어 있습니다. 이 중 상당수 — 주로 AI 도구들 — 는 광범위한 접근 권한을 요구합니다. 방문하는 모든 페이지를 읽고, 클립보드를 열람하며, 네트워크 요청을 차단하거나 수정할 수 있습니다.
USENIX Security 2025 연구에 따르면 광범위한 권한을 가진 Chrome 확장 프로그램의 83%가 단 한 번도 보안 감사를 받지 않았습니다. 개발자들이 만들어 배포했고, 수백만 명의 사용자가 설치했지만, 각 도구가 명시한 기능만 수행하는지 아무도 확인하지 않은 것입니다.
이 문제는 구조적입니다. Chrome 웹 스토어는 알려진 악성 코드를 검사하고 정책 규정을 확인합니다. 그러나 데이터 수집이 완전히 공개되어 있는지, 데이터가 숨겨진 제3자에게 전송되는지는 확인할 수 없습니다.
기업 직원 절반이 미승인 도구를 사용한다
LayerX의 2025 기업 브라우저 보안 보고서에 따르면 기업 직원의 45%가 IT 부서가 승인하지 않은 브라우저 확장 프로그램을 사용하고 있습니다. 이 패턴은 흔합니다. 직원이 유용한 도구를 발견하고, 설치하고, IT 부서는 전혀 알지 못합니다.
감사를 받지 않은 83%와 미승인 45%를 합치면 — 기업 직원 거의 절반이 보안 검토를 전혀 받지 않은 도구를 사용하고 있을 수 있습니다. 그 직원들은 매일 민감한 회사 데이터를 다룹니다.
규제 산업에서는 이 위험이 직접적으로 나타납니다. 클립보드 내용을 읽는 검증되지 않은 도구를 사용하는 HR 직원은 개인 정보를 알 수 없는 제3자에게 전송했을 수 있습니다. 검증되지 않은 AI 작성 도구를 사용하는 변호사는 의뢰인 정보를 알 수 없는 곳으로 전송했을 수 있습니다. 이러한 위험이 GDPR, HIPAA 및 관련 규정과 어떻게 연결되는지는 당사의 법적 컴플라이언스 가이드를 참조하십시오.
90만 명 사용자 사건이 보여주는 것
2026년 초에 보고된 사건은 이 실패 방식을 명확히 보여줍니다. 악성 Chrome 확장 프로그램이 약 90만 명의 사용자로부터 AI 채팅 기록을 유출했습니다. 약 60만 명은 한 도구에서, 나머지 30만 명은 다른 도구에서 피해를 입었습니다. 두 도구 모두 실제 AI 기능을 제공하는 것처럼 보였고, Chrome 웹 스토어에 등록되어 있었으며, 대규모 사용자 기반을 보유하고 있었습니다.
데이터 유출은 설치 후 30분 이내에 완료되었습니다. 연구자들이 해당 도구를 발견했을 때, 거의 100만 명의 사용자가 이미 AI 채팅 기록에 대한 통제권을 잃은 상태였습니다. 그 내용에는 그들이 입력한 모든 민감한 정보가 포함되어 있었습니다.
Incogni의 2025년 연구에 따르면 AI Chrome 확장 프로그램의 67%가 사용자 데이터를 수집합니다. 수집 방식, 공개 여부, 데이터 전송 대상은 그룹 내에서 매우 다양합니다. 브라우저 수준의 통제와 각 도구의 자체 행동을 신뢰하는 방식이 어떻게 다른지는 당사의 보안 및 컴플라이언스 개요를 참조하십시오.
기업 거버넌스 프레임워크
모든 브라우저 확장 프로그램을 차단하는 것은 현실적이지 않습니다. 비용이 너무 높습니다. 올바른 대응은 검증된 승인 도구 — 주로 AI 사용을 위한 도구 — 에 대한 노출을 제한하는 거버넌스 프레임워크를 구축하는 것입니다.
확장 프로그램 허용 목록. 기업 기기에서 허용되는 확장 프로그램을 정의하십시오. 새로운 도구를 추가하기 전에 보안 검토를 의무화하십시오. Chrome Enterprise 정책을 사용하여 승인 목록 외 설치를 차단하십시오.
AI 도구에 대한 엄격한 검토. AI 프롬프트를 처리하는 확장 프로그램은 추가 검토를 받아야 합니다. 네트워크 트래픽을 확인하여 데이터가 전송되는 위치를 파악하고, 전체 권한 범위를 검토하며, 게시자 신원을 확인하십시오.
브라우저 계층 통제. 승인된 AI 도구에 대해, 민감한 내용이 AI 공급자에게 전달되기 전에 차단하는 통제를 적용하십시오. 이를 통해 각 확장 프로그램의 자체 행동을 신뢰할 필요가 없어집니다.
감사를 받지 않은 83%는 사용자가 스스로 해결할 수 없는 문제입니다. 사용자는 Chrome 확장 프로그램을 직접 감사할 수 없습니다. 기업 거버넌스 — 승인 목록, 정책 시행, 기술적 통제 — 가 신뢰할 수 있는 해답입니다. 자세한 내용은 당사의 FAQ와 브라우저 DLP 용어집을 참조하십시오.
anonym.legal의 Chrome 확장 프로그램은 브라우저 내에서 PII 스캐닝을 로컬로 실행합니다. 스캔 과정에서 채팅 내용은 anonym.legal 서버에 전달되지 않습니다. 수정된 익명화 프롬프트만 AI 서비스로 전송됩니다.